iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟修補低程式碼網站建置平臺Power Pages零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月19日微軟發布資安公告，修補低程式碼網站建置平臺Power Pages、搜尋引擎Bing的高風險漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-24989">CVE-2025-24989</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21355">CVE-2025-21355</a>，並指出CVE-2025-24989已被用於實際攻擊行動。</p> <p>CVE-2025-24989是權限提升漏洞，起因是Power Pages存取控制不當造成，未經授權的攻擊者能繞過使用者註冊的控制機制，並進行權限提升，CVSS風險達到8.2分，微軟評估風險達到重大層級。</p> <p>有部分用戶目前受到這項漏洞的影響，因為這項漏洞被用於攻擊行動，微軟雖然已在服務層級進行緩解，但仍無法讓所有用戶都不受到衝擊，他們已發出通知，提供檢查網站是否受害的檢測方法，以及清理的步驟。</p> <p>另一個漏洞CVE-2025-21355，則與遠端程式碼執行（RCE）有關，微軟提及發生的原因在於Bing的重要功能缺乏身分驗證，使得未經授權的攻擊者有機會透過網路執行程式碼，風險值為8.6。</p> </div></div></div>
2025/2/25 15:33作者周峻佑https://www.ithome.com.tw/news/167545
繼臺馬二號、三號海纜後，臺澎三號海纜也發生中斷故障
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼1月發生臺馬海纜中斷故障，迄今臺馬海纜尚未修復，今天（2/25）中華電信再次通報政府相關單位，臺澎三號海纜也發生中斷故障，數發部表示，中華電信已緊急調度其他海纜支援訊務，確保臺灣與澎湖、金門間的通訊不受影響，由於海纜影響我國通訊甚鉅，數發部去年已行政院報請核定，將14條國際海纜、10條國內海纜指定為關鍵基礎設施（CI）。</p> <p>今年1月臺馬海纜二號及三號海纜先後發生中斷故障，由於需安排國際海纜船修復，中華電信先以微波通訊備援，使馬祖地區的通訊不致受到影響，中華電信一方面安排國際海纜船來臺，也正在興建臺馬四號海纜，建立多條海纜備援機制。</p> <p>今天臺澎三號海纜也發生中斷故障，中華電信除了依法向海巡署通報，委托調查海纜中斷原因，數發部接獲通報後，也已請中華電信調度其他海纜支援訊務，降低對臺灣、澎湖、金門的影響。</p> <p>根據數發部的說明，國家通訊暨網際安全中心（NCCSC）接獲中華電信通報，2月25日凌晨3點3分，位於臺南北門14.7公里的臺澎海纜發生全斷障礙，由於尚有臺澎二號、澎金三號、臺金二號海纜互連，因此得以調度其他海纜支援訊務。另外，中華電信原本為修復臺馬海纜安排的國際海纜船，原定2月底、3月底分別修復臺馬海纜二號及三號海纜，現在也緊急安排國際海纜船緊接著修復臺澎三號海纜。</p> <p>海巡署指出，2月25日凌晨接獲中華電信通報後，臺澎三號海纜發生中斷故障後，海巡署原先就在該海域監控多哥籍「宏泰」貨輪，發現該船下錨滯留，立即實施廣播驅離，並全程監控，而在接獲中華電信通報後，以現行犯攔停貨輪，並將貨輪押返臺南安平港，依國安層級處理原則，由臺南地檢署指揮偵辦中。</p> <p>海巡署表示，該貨輪具有中資背景，船員均為中國籍人士，但是否為蓄意人為破壞海纜，還有待進一步的調查，並不排除為中國灰色地帶的侵擾行動。</p> <p>近幾年多次發生海纜中斷故障，其中幾次事件發生的原因疑似為不明貨輪船隻拖斷所致，成大電機系教授李忠憲即以兩岸關係緊張，認為臺灣海纜遭到疑似中國船隻損毀，為灰色地帶的極限作戰，海纜負責臺灣對外9成以上的國際通訊，如所有海纜都遭到破壞，將使國際通信幾乎癱瘓，影響跨國交易、金融服務，以及Google、AWS國際雲端服務，衝擊半導體產業跨國合作。如果臺灣所有對外國際海纜遭破壞中斷，臺灣將成為通訊孤島，他呼籲政府應加強國內通訊網路及服務韌性。</p> <p>依照國家關鍵基礎設施安全防護指導綱要，目前政府已將國際海纜列為關鍵基礎設施，對國際海纜設置者負有事前預防、事中偵測通報應變與事後復原等防護措施，每年業者需辦理防護演習。然而國際海纜已被列為CI，過去並沒有將國內海纜列為CI，去年因發生國內海纜中斷故障，數發部應立委要求報請行政院核定，也將國內海纜納入關鍵基礎設施的安全防護範圍，同樣有事前防護、事中偵測、事後復原的要求。</p> <p>數發部表示，未來將依備援再備援的原則，強化離島的通訊韌性，包括在政府關鍵節點設置非同步軌道衛星站點，補助海纜、微波通訊建設，通過多元異質通訊備援機制提升通訊穩定性。</p> <p> </p> </div></div></div>
2025/2/25 16:05作者蘇文彬https://www.ithome.com.tw/news/167546
Cloud周報第220期：全美資料中心建案暴增但供電恐不足，Meta新全球海纜計畫比地球一圈還長，SAP瞄準AI訓練需…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#FF0000;"><strong>Cloud重點新聞（02/01～02/20）</strong></span></h3> <p><strong><span style="color: rgb(0, 0, 255);">#海纜安全 #無人潛艇巡視</span><br /> 波羅的海海底電纜切斷事件連連，歐盟啟動海底電纜安全倡議</strong></p> <p>歐盟在2月21日發布了一項聯合通告，要啟動一項海底電纜安全倡議倡議，包括了五大行動，來提高歐盟海纜基礎設施的安全性，包括了預防、偵測、回應、修復和阻止。第一步要防止破壞事件，並且要提高海底電纜基礎設施的脆弱性和防禦能力。第二階段則要強化偵測能力，盡快發現甚至可以預測到可能的破壞威脅。一但發生破壞事件，受影響的歐盟成員要聯手，強化協調和應變能力。並且歐盟將發展一套可以盡快恢復通訊的能力。最後一項作法要強化對海底電纜威脅態勢的掌握，尤其要保護關鍵海上基礎設施的安全，並追究惡意破壞者的責任。</p> <p>歐盟從去年底，頻頻傳出海底電纜中斷事故。去年11月，瑞典和立陶宛之間在波羅的海的兩條海底電纜疑遭中國船隻切斷。去年12月，芬蘭和愛沙尼亞間的Estlink 2海纜遭切斷，芬蘭查扣了一艘載了俄羅斯石油的貨輪。但也有歐美官員澄清是意外造成海纜事故。今年1月底，拉脫維亞和瑞典間有條海纜在水深100公尺處，遭到外部因素破壞。北約啟動了一項海底哨兵軍事行動，派出護衛艦、海上巡邏機，海軍無人機來監測海纜基礎設施安全。德國則找來以色列國防業者Elta，部署了一臺重達5噸IAI IAI的海底無人潛艇，代號Blue Wheel（藍鯨），可在水下300公尺每小時巡航8英里，捕捉高解析海底影像。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E8%97%8D%E9%AF%A8%E7%84%A1%E4%BA%BA%E6%BD%9B%E8%89%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-IAI%E9%9B%86%E5%9C%98.jpg" /></p> <p><strong><span style="color:#0000FF;">#資料中心建置 #供電量嚴重不足</span><br /> 美國資料中心建案去年大暴增，但現有公共電力只能供應5成資料中心用電量</strong></p> <p>美國房產集團Newmark發布美國資料中心市場報告，美國資料中心新建案的投資規模在2022年ChatGPT發布後，快速增加，尤其在2024年，資料中心新建案的投資金額創新，整年度全美高達315億美元，開發規模加起來約5千萬平方英尺（約140萬坪），相當於650座標準足球場大小，這個建置規模是2020年全美資料中心建案的5倍，但該報告也指出，現有美國公共電力供應嚴重不足，只能滿足現有與未來這些新建資料中心總用電量的50%。</p> <p>2024年，美國超大規模AI資料中心的資本支出和維運費用，加起來約2,490億美元，包括資料中心設施、AI軟硬體設備建置、日常維運和電力費用等，其中1050億美元用於GPU和相關晶片硬體。在過去一年，科技巨頭中，微軟AI資料中心的花費（資本投資與維運費用）最多，達460億美元，Google則有330億美元，Meta約270億美元，而Amazon也有190億美元的AI資料中心支出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E7%BE%8E%E5%9C%8B%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83%E5%BB%BA%E6%A1%88%E5%A4%A7%E5%A2%9E-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Newmark.png" /></p> <p><strong><span style="color:#FF8C00;">#ERP資料整合 #AI訓練需求</span><br /> 瞄準企業ERP資料AI分析需求，SAP聯手Databricks推出業務資料分析雲</strong></p> <p>ERP龍頭軟體商SAP在2月初產品大會上，推出了一款SaaS形式的企業資料分析服務Business Data Cloud，提供企業整合所用SAP產品的資料和第三方資料，作為AI資料分析或訓練之用。SAP與AI技術廠商Databricks合作，在SAP Business Data Cloud中，開發了一個SAP Databricks元件，整合了Databricks的零複製資料串接技術Delta Sharing，提供AI、資料倉儲和資料工程與統一型錄（Unity Catalog），可安全整合外部資料源資訊以用於AI開發任務。</p> <p>SAP Business Data Cloud專門鎖定SAP系統上公雲的企業用戶，可用來整合所有企業資料，從ERP、財務、供應鏈、HR、客服和營運規畫等彙整，以自動化AI分析、模擬出業務預測並產出報表。也能整合第三方工具資料治理工具Collibra、資料串流處理工具Confluent和機器學習AI自動化工具DataRobot。SAP更整合了自家生成式AI代理人Joule。利用內建的知識圖譜來串接企業資料、meta data和業務流程，供LLM決策或判斷之用。例如用戶可用它來執行複雜分析和規畫，像是風險評估、預測及進階業務模擬，減少對IT的依賴。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Insight-Apps-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-SAP.jpeg" /></p> <p><strong><span style="color:#FF8C00;">#AWS #EFS</span><br /> Amazon EFS共用檔案系統的支援規模翻十倍，可支援1萬個存取點</strong></p> <p>Amazon EFS是雲原生的NFS檔案系統，也是企業建立跨區域間的檔案共享系統常用個其中一項AWS服務，適合用來儲存非結構化資歷像是檔案，圖片，影音等。更支援大量EC2執行實例，透過權限控管機制來共享和存取資料，不需要預先定義儲存容量，也可以任意擴充。原本可支援的應用程式存取點只有1千個，最近AWS宣布擴充存取點支援規模到1萬個，等於可以同時支援分散在不同雲端區域的1萬隻應用系統，來存取同一個檔案系統。</p> <p><strong><span style="color:#FF8C00;">#雲端儲存 #中繼資料分析</span><br /> S3正式啟用中繼資料功能，不用複雜指令也能快速尋找數億物件</strong></p> <p>日前AWS正式推出了Amazon S3中繼資料功能（Metadata），當資料物件上傳儲存到S3時，會以幾乎即時的速度，來自動截取資料物件的中繼資料。可支援的中繼資料類型，包括了物件大小，來源等，也提供自訂中繼資料，可用標籤功能來註解像是交易ID、產品類型、內容等級等資訊。透過AWS分析類服務，例如QuickSight、Redshift等服務，快速查詢上億物件的中繼資料，快速找出想要的資料物件。也可用AWS的AI開發工具Bedrock用中繼資料欄位，對AI生成的影片進行註解，建立時間戳記等生成特徵。像網路監控服務商New Relic擁有高達1.3EB的S3資料物件量，改用中繼資料自動產生一些指標資訊，讓維護工程師減少了數百個開發工時，來建置這些指標的開發時間。</p> <p><strong><span style="color:#FF8C00;">#雲端資安 #營運透明化</span><br /> AWS發布信任中心網站，提供一站式的資安和法遵文件知識庫</strong></p> <p>AWS資安長Chris Betz在2月中發布了AWS的信任中心官網，上面整合了所有AWS的安全作業實務文件像是資料中心的安控作法，到雲端服務的安全策略等，也整合了AWS所有合規計畫文件，例如GDPR合規，也提供了雲端稽核學院的課程，另外還有AWS服務的相關資料保護控制作法文件。</p> <p>不只是文件，信任中心網站還整合了AWS服務營運狀態的透明化資訊，包括了各項安全發布，服務狀態到帳號運作儀表板，也集結了AWS所有的資安事件通報管道，像是資安漏洞通報，可疑電子郵件檢舉，或是疑似濫用行為的舉發管道等。<br /> Chris Betz指出，這個網站提供了一個查詢各項服務健康和安全事件資訊的集中式入口，也能隨時回報安全問題，或是用來評估自己所用服務的安全性。後續隨著AWS雲端服務更新，也會動態同步更新相關安全資訊到這個網站上揭露。<br /> AWS不是唯一一家提供類似一站式安全資訊中心的公雲巨頭，微軟和Googel也早就推出了類似的安全信任中心。 </p> <p><strong><span style="color:#FF8C00;">#雲端辦公室 #Gemini</span><br /> Google辦公室產品內建的Gemini助手，終於支援繁體中文</strong></p> <p>剛在今年1月調整一波新定價的Google辦公室服務Workspace，從2月20日開始，內建的Gemini助手終於增加支援中文、阿拉伯文、越南文等17國語言，累計支援語言達到40國。包括在Gmail、Google文件、Google雲端硬碟等應用的側邊面板中使用Gemini時，可改用慣用語言進行摘要或生成文案。</p> <p><strong><span style="color:#0000FF;">#臺美海纜 #雲端基礎架構</span><br /> Meta從頭城到加州的海纜擬2027年啟用，可提供臺美跨海頻寬達76.8Tbps</strong></p> <p>今年1月底，Meta公司向美國聯邦通訊委員會申請一項臺美海底光纖電纜ORCA的登陸許可。這條海纜完全由Meta公司獨有，採開放架構可將流量賣給第三方。ORCA採用6對光纖設計，一對光纖設計傳輸容量為12.8Tbps，整套海纜的總傳輸容量為76.8Tbps。跨洲的主線海纜長度超過1萬公里，將連結臺灣頭城到美國加州兩座城市（赫莫薩海灘和加州曼徹斯特），另有兩條在加州岸端的分線共約1,500公里長，預計最快2027年第一季開始運作。Meta曾在2021年撤銷了一條串聯加州兩地到香港的美中合資海纜計畫，中途也會連接到臺灣頭城。現在新的ORCA海纜則直接改為Meta獨資，且直接從頭城連接到美國加州。</p> <p><strong><span style="color:#0000FF;">#全球最長 #可對抗漁船斷網</span><br /> Meta將投資數十億美元打造全球最長海纜，橫跨五大洲比繞地球一圈還長</strong></p> <p>Meta在2月14日宣布要打造全世界最長的海地電纜計畫Waterworth，預計串連五大洲，總長度超過5萬公里，比地球圓周4萬公里，還要多1萬公里。這條海底電纜將串聯美國、印度、巴西、南非等國，建置時間為期多年，投資規模超過數十億美元。<br /> 目標要建立三條新的海底數位通路，支援數位通訊、視訊和線上交易流量，Meta估計，完成後將可以支援全球海底洲際流量的95%。</p> <p>Meta過去參與過超過20條海底電纜的合作計劃，Waterworth計畫將採用24對光纖組合的海底電纜，遠高于一般通常部署8～16對光纖的海纜。Meta也採用了首創的海底布線技術，可以部署到超過7千公尺深的深海電纜，並且在高風險的斷層區域或像是近海淺水區，採用增強型埋設技術，來避免遭到漁船船錨或其他可能的斷纜威脅。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%89%E6%9B%B8%E6%B5%B7%E5%BA%95%E9%9B%BB%E7%BA%9C%E8%A8%88%E7%95%ABWaterworth-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Meta.jpeg" /></p> <p><strong><span style="color:#0000FF;">#資料中心擴充 #Google雲</span><br /> 去年11座資料中心動工，今年繼續加碼，Google今年資本支出將達750億美元</strong></p> <p>Alphabet執行長Sundar Pichai在今年2月初財報電話會議上，宣布今年資本支出將高達750億美元（約臺幣2.4兆元），用於雲端業務的投資，其中大宗用於資料中心、伺服器和網路的建設。Google加快腳步擴充全球基礎架構的規模，去年，包括美國和全球共有11座資料中心動工，也宣布了7項海底電纜建置計畫。同一場會議上，Alphabet財務長Anat Ashkenazi透露，統計到今年底的需求，遠超過我們現有的容量，所以，今年才比照去年，繼續大幅提高資本支出。不只Google，AWS和微軟近日也紛紛透露，擔心沒有足夠資料中心來滿足AI產品的需求而決定在今年加碼相關資料中心的投資。 </p> <p><strong><span style="color:#FF8C00;">#SRE大調查 #可觀察工具</span><br /> 4成企業SRE可觀察性工具不足，3成SRE愛用AI管理災情事件</strong></p> <p>網際網路效能公司Catchpoit連續七年對全球SRE進行調查，日前公布了2025年SRE年度報告，在去年8月搜集了301位SRE領域從業人員。根據調查，SRE平均一個月要處理1～5件可靠性事故。6成企業主要採用了2到5項監測工具，有8%企業則導入了超過10款可觀察性工具。只有5%企業只靠一款可觀察性工具來監測。不過，多達41%企業的可觀察工具不足，例如缺乏有效的監控矩陣，導致復原時間延遲，也難以除錯，但也有16%企業自評採用了過多的監測工具，導致雜訊過多，影響了分析和判斷。在AI工具輔助上，39%填答者認為AI對於程式碼撰寫最有幫助，另有33%填答者認為用於事件管理也頗有效果。</p> <p>責任編輯：王宏仁</p> <p><strong>更多消息</strong></p> <ul> <li>AWS老客戶Salesforce更換主要雲端供應商，改與Google雲簽訂25億美元的7年合約。</li> <li>供應全印4成用電的印度塔塔電廠，將23套關鍵系統搬上AWS公雲，更建置兩套雲端資料湖來蒐集太陽能、風力發電、智慧電表與工業物聯網設備的龐大即時資訊。</li> <li>小心網路釣魚工具鎖定M365和Gmail用戶，可狹持連線階段及時攔截帳密，恐能繞過多因素驗證</li> </ul> </div></div></div>
2025/2/25 14:55作者王宏仁https://www.ithome.com.tw/news/167541
微軟公布能設計電玩的AI模型Muse
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周在《自然》期刊<a href="https://www.nature.com/articles/s41586-025-08600-3#Sec1" target="_blank">發表</a>一款世界與人類行為互動模型（World and Human Action Model，WHAM），名為Muse，能生成電玩的視覺物件及控制器行為。</p> <p>生成式AI雖然逐漸普及應用於創意產業，如影片、圖片，加速協同溝通及自動化產製過程，但效果仍不如期望。微軟研究院Game Intelligence和Teachable AI Experience（Tai X）及Xbox Games的忍者理論（Ninja Theory）團隊合作開發出Muse，展示利用對使用者需求的知識，促進生成式AI開發創意內容的能力。最後結果是名為Muse的世界與人類行為模型（World and Human Action Model，WHAM），可生成一致化又多樣化的電玩遊戲情節，且能持續整合用戶需求。</p> <p>WHAM模型基於Transformer架構的自回歸模型。為了訓練Muse，研究團隊蒐集了4人對4人的Xbox線上遊戲Bleeding Edge玩家對戰時的影片作為訓練資料集，涵括10億張遊戲畫面與控制器輸入的資料，相當於7年的人類玩家遊戲資料。透過大量學習，來訓練WHAM生成遊戲玩法序列、關卡設計和角色行為。訓練環境先是使用Nvidia V100，之後全面改成H100，開發過程也經歷多輪迭代。</p> <p>最後的Muse（WHAM-1.6B）可生成遊戲視覺效果、遊戲內行動，或同時生成兩者。它能夠根據1秒的遊戲片段（1秒的影像與控制器輸入），預測接下來的遊戲發展。</p> <p>研究人員<a href="https://www.microsoft.com/en-us/research/blog/introducing-muse-our-first-generative-ai-model-designed-for-gameplay-ideation/" target="_blank">評估</a>，Muse有一致性（consistency）、多樣性（diversity）及持續性（persistency）的特點。一致性方面，Muse能夠生成長達兩分鐘的連續遊戲序列，並且能夠保持畫面穩定，不會出現明顯的視覺退化或不合理的變化。多樣性方面，Muse具備行為和視覺上的多樣性。例如，當給定相同的10幀（1秒）真實遊戲畫面作為條件時，Muse產生了不同的遊戲場景，包括不同的攝影機移動方式或是選擇不同路徑。此外，Muse也能產生視覺上的變化，例如角色的懸浮滑板樣式不同。Muse還具有「持續性」的能力，能夠使新角色合理地融入遊戲環境，而不是將其忽略或錯誤刪除。</p> <p>與以往需要手動定義或提取相對狹窄領域結構的創意支援工具不同，生成式AI模型可以從現有數據中學習相關結構，能夠在遊戲開發、遊戲測試和創意應用方面提供重要協助。</p> <p>研究團隊也開源了Muse權重及樣本資料，以及WHAM Demonstrator的執行檔，WHAM Demonstrator為概念模型原型，提供視覺介面和模型互動。開發人員可以在Azure AI Foundry<a href="https://ai.azure.com/" target="_blank">試用</a>Muse。</p> </div></div></div>
2025/2/25 14:14作者林妍溱https://www.ithome.com.tw/news/167539
針對中國駭客Salt Typhoon利用思科網路設備弱點入侵美國電信業者，思科發表調查報告證實此事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對去年9月爆發的<a href="https://www.ithome.com.tw/news/165354">中國駭客大規模攻擊多家美國電信業者</a>的資安事故當中，<a href="https://www.ithome.com.tw/news/166096">11月有知情人士透露</a>，駭客入侵受害組織網路環境的手段，是針對思科的網路設備漏洞，但對於這項傳言，思科始終沒有出面說明，直到本月上旬資安業者Recorded Future<a href="http://www.ithome.com.tw/news/167390">點出駭客使用的漏洞</a>，思科才透露他們也在著手調查此事。</p> <p>2月13日Recorded Future指出，他們發現被稱做Salt Typhoon、Earth Estrie、FamousSparrow、Ghost Emperor的中國駭客組織，在攻擊美國電信業者的過程裡，利用思科網路設備系統IOS XE漏洞CVE-2023-20198、CVE-2023-20273（CVSS風險分別為10分、7.2分），事隔一週，<a href="https://blog.talosintelligence.com/salt-typhoon-analysis/">思科也公布相關調查結果</a>，表示駭客在部分攻擊行動裡，疑似有利用其他IOS XE已知漏洞的情況。</p> <p>思科旗下威脅情報團隊Talos表示，他們在進行相關攻擊行動調查之後，確認在部分攻擊當中，駭客可能運用了重大層級的IOS XE遠端程式碼執行（RCE）漏洞CVE-2018-0171（風險評為9.8分）。在所有事故當中，Salt Typhoon取得受害組織的初始入侵管道，都是利用外流的使用者帳號資料存取思科設備而得逞，接著，他們在多個廠牌的設備之間持續活動，並在其中一個實體活動超過3年。</p> <p>而對於其他研究人員公布的調查結果裡，揭露駭客利用的其他思科設備弱點，除了Recorded Future提到的兩項漏洞，Talos也提及存在於網路設備作業系統NX-OS的<a href="https://www.ithome.com.tw/news/163736">命令注入漏洞CVE-2024-20399</a>（風險評為6.0分），這代表這些駭客也有可能對這類設備下手。不過，Talos表示雖然他們掌握上述的說法，但並未察覺駭客使用這些弱點的情況，為了安全起見，他們呼籲IT人員還是要儘速修補。</p> <p>究竟駭客如何取得入侵受害組織所需的帳密資料？Talos表示並不清楚，但他們觀察到這些駭客在整個攻擊流程都有運用遭竊的有效帳密的情況，而且會試圖透過網路設備的組態解譯使用弱密碼的本機帳號。此外，Salt Typhoon也會截取SNMP、TACACS、RADIUS流量，以及網路設備和TACACS、RADIUS伺服器之間使用的金鑰。</p> <p>在部分環境當中，駭客透過FTP及TFTP將設備的組態外流，這些組態通常包含身分驗證相關資料，以及網路介面的命名，使得攻擊者能進一步掌握網路環境，有助於偵察或橫向移動。</p> <p>特別的是，這些駭客採取不斷在受害組織基礎設施移動的策略，原因可能是相關設備的行為通常不會被網路防禦系統視為可疑，使得攻擊者行蹤難以察覺。</p> <p>除此之外，Talos也發現駭客會利用Bash與思科裝置的虛擬化環境Guest Shell，來竄改網路設備的組態，並使用自製工具JumbledPath捕捉封包內容。為了避免被發現，駭客也會利用JumbledPath清除相關事件記錄檔案，並混淆攻擊來源。</p> </div></div></div>
2025/2/25 11:10作者周峻佑https://www.ithome.com.tw/news/167535
微軟針對WSUS服務棄用再度警告，2個月後將停止驅動程式同步服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年9月微軟宣布Windows Server Update Services（WSUS）棄用（不再繼續發展新功能，預告後續可能會刪除），上週微軟<a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#3482">發布公告</a>，指出WSUS的驅動程式同步功能即將於4月18日棄用，對於想要持續藉由作業系統更新機制派送驅動程式的IT人員，就要尋求其他的替代方案。而對於驅動程式檔案，微軟表示會透過Microsoft Update Catalog網站提供，但IT人員無法匯入WSUS使用。</p> <p>這項棄用WSUS驅動程式同步服務的決策，<a href="https://techcommunity.microsoft.com/blog/windows-itpro-blog/deprecation-of-wsus-driver-synchronization/4177831">最早是在去年6月宣布</a>，而對於WSUS本身，微軟則是於8月列為<a href="https://github.com/MicrosoftDocs/windowsserverdocs/commit/b9de39a7a50e881d725ba5af90ca179d20ecd2ca">將在Windows Server 2025移除的功能</a>，並表明不再開發新功能。到了9月，<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-officially-deprecates-windows-server-update-services-wsus/">該公司正式宣布棄用WSUS</a>。</p> </div></div></div>
2025/2/25 12:17作者周峻佑https://www.ithome.com.tw/news/167537
Google公布影片生成AI模型Veo 2費用，每秒0.5美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google去年<a href="https://www.ithome.com.tw/news/166542" target="_blank">公布</a>影片生成AI模型Veo 2開放試用3個月後，本周公布<a href="https://cloud.google.com/vertex-ai/generative-ai/pricing" target="_blank">價格表</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0225-google%20vertex%20ai-veo%202-price.png" style="width: 600px;" /></p> <p>Veo 2可根據用戶輸入的文字提示來生成高畫質影片，能生成一部最高4K（4096 x 2160）解析度畫質，最長2分鐘的影片。Google強調Veo 2對真實世界的物理運作及人類表情的細微差異，具有高度理解能力。</p> <p>使用Veo 2的代價為每秒0.5美元。製作2分鐘影片費用成本為60美元。Google於二周前<a href="https://blog.google/feed/veo-2-dream-screen-youtube-shorts/" target="_blank">公布</a>將Veo 2推向YouTube Shorts，用戶可以在新影片生成功能Dream Screen中，輸入文字以Veo 2生成影片。</p> <p>相較之下，Veo 2想要挑戰的OpenAI的Sora，最高可生成1080p、最長20秒的影片。Sora提供給ChatGPT Plus及Pro方案用戶，各需月付20及200美元，但Plus用戶只能生成720p，每次最長5秒的影片。</p> </div></div></div>
2025/2/25 12:26作者林妍溱https://www.ithome.com.tw/news/167538
美國製造優先，蘋果公布4年5,000億美元高科技投資計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果昨（24）日<a href="https://www.apple.com/newsroom/2025/02/apple-will-spend-more-than-500-billion-usd-in-the-us-over-the-next-four-years/" target="_blank">公布</a>高科技製造投資計畫，未來4年內將投入5,000億美元生產AI伺服器、晶片，並且聘僱2萬名美國員工。</p> <p>這項宣布是美國總統川普上任後，揚言調高墨西哥、加拿大尤其是中國商品進口關稅，以及蘋果執行長Tim Cook上周會晤川普後，蘋果方面的正式回應。這波計畫宣告蘋果因應美國重新聚焦製造業政策，降低海外特別是中國生產比例。</p> <p>這5,000億美元投資計畫之一，蘋果將與製造商合作夥伴在德州休士頓設廠生產伺服器。該廠生產的伺服器將用於支援蘋果Apple Intelligence，也是Private Cloud Compute的基礎，後者目的在確保AI雲端資料安全性。這座占地25萬平方英呎的伺服器組裝廠預定2026年啟用，並聘僱數千名員工。蘋果也計畫，隨著Apple Intelligence在美客戶增加，將擴增它在北卡羅來納、愛荷華、奧勒岡、亞利桑納及內華達州的資料中心運算容量。</p> <p>其次蘋果計畫把以促進美國高科技製造工作的美國進階製造基金（Advanced Manufacturing Fund），由50億美元倍增為100億，而其中重點之一是在台積電亞利桑納州晶圓廠Fab 21生產「進階晶片」。蘋果說它是台積電Feb 21最大客戶，而首款美國製造的蘋果晶片上個月已經正式量產。</p> <p>路透社<a href="https://www.reuters.com/technology/artificial-intelligence/apple-plans-texas-factory-ai-servers-20000-research-jobs-2025-02-24/" target="_blank">報導</a>，蘋果合作廠商為鴻海。此外根據<a href="https://money.udn.com/money/story/11162/8490376" target="_blank">報導</a>，這座廠生產的是A16處理器。</p> <p>蘋果強調自己早就在美聘僱了晶片研發人力，包括iPhone 16e使用的A18晶片及首款自製行動數據晶片Apple C1。但未來4年蘋果計畫再聘請20,000名美國人力，大部份人力著重在晶片工程、軟體開發、AI與機器學習上。</p> <p>最後，蘋果承諾在密西根州開設蘋果製造學院（Apple Manufacturing Academy）以提供中小企業諮詢，以及開設線上及實體課程給民眾。</p> <p>這也是1月20日川普上任後，另一宗美國科技巨擘的大型投資計畫。1月底OpenAI、軟銀與甲骨文<a href="https://www.ithome.com.tw/news/167107" target="_blank">承諾</a>4年投入5,000億美元的Stargate計畫，將打造AI資料中心，包括興建電力基礎架構。</p> </div></div></div>
2025/2/25 11:13作者林妍溱https://www.ithome.com.tw/news/167536
Docker Hub免費政策變更又惹議，4/1起調整拉取限制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Docker再次調整其免費服務策略，這次的變動重點為<a href="https://docs.docker.com/docker-hub/usage/">Docker Hub的映像檔拉取限制</a>。從2025年4月1日起，未登入用戶的拉取次數將降至每小時10次，而免費帳戶則限制為每小時100次。相較之下，付費訂閱用戶，包括Pro、Team和Business方案，則可享有無限拉取，但仍須符合公平使用原則。這項改變引發開發者社群的討論，特別是長期依賴Docker Hub的個人開發者與小型團隊。</p> <p>Docker Hub過去長期提供免費的映像檔拉取服務，使其成為容器生態系統中的關鍵基礎設施。開發者可輕易存取各類開源軟體，並將其整合至CI/CD流程與企業應用環境。這項便利性使得Docker在DevOps中被普及應用，但也讓開發者在無形中高度依賴Docker Hub基礎設施。現在Docker再度收緊免費政策，不僅影響個人用戶與開源專案，也讓企業IT部門需要重新檢視其容器映像檔的管理方式。</p> <p>這並非Docker首次調整免費帳戶的權益。<a href="https://www.ithome.com.tw/news/140808">2020年Docker曾調整匿名用戶每6小時100次的拉取限制</a>，而經驗證的免費用戶，每6小時的拉取次數限制則為200次，當時已引發開發者對Docker商業模式的不安。Docker近年也多次調整訂閱方案，試圖將用戶導向付費模式，而這次進一步壓縮未付費用戶的拉取次數，則被部分開發者視為加速變現的策略。</p> <p>部分企業IT團隊可能會選擇升級至付費方案，以確保系統穩定運行，而中小型開發團隊則可能轉向其他容器映像檔註冊表，如GitHub Container Registry、Google Artifact Registry或Amazon Elastic Container Registry。此外，建立內部快取機制或私有註冊表也是常見的解決方案，能有效降低對Docker Hub的依賴。</p> <p>這項變更直接衝擊獨立開發者與小型團隊，不少開發者的CI/CD流程高度依賴Docker Hub，且未必具備架設私有註冊表的資源，對於這類用戶，限制拉取次數可能會導致建置流程中斷影響開發效率。在<a href="https://news.ycombinator.com/item?id=43125089">Hacker News</a>等網路論壇，不少開發者對此表達不滿，認為Docker長期提供免費服務作為宣傳，如今卻透過流量限制來驅使用戶付費，這種策略難免引發爭議。</p> </div></div></div>
2025/2/25 08:09作者李建興https://www.ithome.com.tw/news/167527
【資安日報】2月24日，2024十大網站攻擊技術臺灣專家再度稱霸第一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年度「十大網站攻擊技法」（Top 10 Web Hacking Techniques 2024）年初公布，本次有103件研究成果入選，較往年倍增，同時品質也更加精進。PortSwigger首席研究員James Kettle指出，這次是他歷年見過最高品質的一批研究成果。</p> <p>特別的是，這次第一、第四為臺灣資安研究員的成果，分別是Apache HTTP Server的混淆攻擊手法，以及Windows作業系統ANSI字元轉換弱點WorstFit。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167511"><strong style="font-size: 22px;">中國駭客Earth Preta假借打擊犯罪為由散布惡意程式ToneShell，意圖利用作業系統預載公用程式迴避偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EarthPretaFig01-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarthPretaFig01-2.png" style="width: 300px; float: right;" /></a>專門鎖定臺灣、越南、馬來西亞等亞太國家發動攻擊，被稱做Mustang Panda、Earth Preta的中國駭客組織，自2022年至今已有200家企業組織受害，如今有資安業者提出警告，這些駭客更換手法相當值得留意。</p> <p>資安業者趨勢科技指出，他們最近觀察到新一波的攻擊行動裡，Earth Preta一旦發現受害電腦執行ESET防毒軟體，便將程式碼注入Windows公用程式Microsoft Application Virtualization Injector（MAVInject.exe），使得有效酬載注入另一個用來與其他網路上的電腦傳送及接受訊號的公用程式waitfor.exe。此外，這些駭客也濫用安裝程式建置工具Setup Factory，投放並執行有效酬載。這麼做的目的，主要是為了迴避偵測，並且能持續在受害電腦活動。</p> <p>罕見的是，研究人員特別提及這支惡意程式並非只針對部署ESET防毒的電腦而來。假若駭客發現受害電腦並非使用該廠牌的防毒軟體，就會直接利用特定的API將程式碼注入waitfor.exe。</p> <p><a href="https://www.ithome.com.tw/news/167512"><strong style="font-size: 22px;">駭客組織RedCurl利用Adobe元件側載惡意程式，意圖假借求職對法律產業發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-EarthKapreInfectionChain.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-EarthKapreInfectionChain.jpg" style="width: 300px; float: right;" /></a></p> <p>駭客假借求職名義向企業組織發動網路釣魚攻擊的情況，有不少是為了籌措營運資金的北韓駭客所為，但近期有其他駭客這麼做而引起關注。</p> <p>資安業者eSentire今年1月發現被稱做Earth Kapre、RedCurl的駭客組織攻擊行動，這些駭客鎖定律師事務所及法律服務行業而來，過程中利用Adobe應用程式元件ADNotificationManager.exe，以側載的方式執行他們的惡意程式載入工具，並利用微軟網路公用程式Active Directory Explorer這類工具從事偵察，然後以7-Zip打包竊得資料且設置密碼保護，最終使用PowerShell發出請求，將資料透過雲端儲存服務供應商Tab Digital外流。</p> <p>究竟這些駭客如何接觸受害者？他們假借求職為誘餌寄送釣魚郵件，信中挾帶PDF檔案，一旦收信人開啟並點選其中的連結，電腦就會下載ZIP壓縮檔，其內容為IMG光碟映像檔，若是收信人開啟，就會在電腦裡掛載。</p> <p><a href="https://www.ithome.com.tw/news/167516"><strong style="font-size: 22px;">網釣工具包Astaroth同時針對Gmail及M365帳號而來，能繞過多因素驗證並挾持帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Astaroth-image3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Astaroth-image3.png" style="width: 300px; float: right;" /></a></p> <p>網路釣魚攻擊的活動出現分工，駭客製作工具包吸引更多打手參與，最近兩到三年更製作出能繞過多因素驗證（MFA）的作案工具，但大部分鎖定目標主要是Microsoft 365帳號，如今有駭客開發能對其他帳號下手的新工具，因而引起研究人員的注意。</p> <p>資安業者SlashNext揭露今年一月底出現的網釣工具包Astaroth，賣家標榜此工具能挾持連線階段（Session）及即時帳密攔截，從而繞過Gmail、Yahoo、M365等帳號的多因素驗證機制。</p> <p>乍聽之下，Astaroth的主要功能，與其他能進行對手中間人（AiTM）的網釣工具包雷同，但Daniel Kelley指出做法有明顯的差異，其中一項就是駭客的網釣網域具備SSL憑證，使得瀏覽器不會彈出警示訊息，受害者也難以察覺有異，但在此同時，Astaroth會將使用者發出的請求轉送到真正的身分驗證服務，並秘密攔截相關敏感資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/cybercriminals-use-eclipse-jarsigner-to.html">JAR檔案簽章工具遭到濫用，攻擊者藉此於受害電腦啟動惡意軟體XLoader</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/fake-chrome-update-delivers-drivereasy-malware/">假借提供驅動程式部署、瀏覽器更新工具，北韓駭客意圖藉由Dropbox散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/spylend-android-malware-downloaded-100-000-times-from-google-play/">SpyLend貸款詐騙App鎖定安卓用戶而來，已被下載逾10萬次</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/lummac2-malware-masquerading-as-total-commander-crack-to-infect-windows-users/">駭客假借提供檔案管理工具Total Commander盜版名義，意圖散布竊資軟體LummaC2</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/atlassian-patches-critical-vulnerabilities-in-confluence-crowd/">Atlassian修補旗下Confluence、Crowd重大層級漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167513"><strong style="font-size: 22px;">2024十大網站攻擊技術公布，臺灣資安專家再度稱霸第一</strong></a></p> <p>今年1月，PortSwigger網站發布了年度「十大網站攻擊技法」（Top 10 Web Hacking Techniques 2024），再次受到我們關注，原因是臺灣專家的研究成果，同時榮獲了第1名與第4名。</p> <p>本屆總共有103件研究報告獲得提名，比起往年數量呈現接近倍增的情形，不僅是數量大增，負責舉辦此計畫的PortSwigger首席研究員James Kettle指出，這是他自2018年負責此專案以來，見過最高品質的一批研究成果。</p> <p>這次臺灣資安研究人員能夠再次從中脫穎而出，獲選為第1名與第4名，更是難得，而且，兩項都與臺灣資安公司戴夫寇爾（DEVCORE）首席資安研究員Orange Tsai（蔡政達）有關。</p> <p><a href="https://www.ithome.com.tw/news/167517"><strong style="font-size: 22px;">針對外傳英國政府施壓開存取用戶資料的後門，蘋果證實即將移除英國iCloud進階資料防護功能</strong></a></p> <p>今年1月英國要求蘋果開放存取iCloud加密備份的後門，蘋果2月21日向彭博社與The Verge證實，他們不再向英國的新用戶提供iCloud的進階資料防護（Advanced Data Protection，ADP）功能，且最終會在當地全面禁用。</p> <p>當時傳出英國政府使用的法源依據，是名為「監聽者憲章（Snooper's Charter）」的《2016年調查權法案》，他們向蘋果下達名為技術能力通知（Technical Capability Notice）的命令，希望透過這後門讓他們能存取蘋果帳號以全程加密（E2EE）上傳到iCloud的檔案備份的完整內容。值得留意的是，這道命令適用對象是全球蘋果用戶，而非只有針對英國人。</p> <p>而在這次蘋果發出的聲明當中，透露無法藉由ADP保護英國用戶的資料，暗示採取這些措施可能並非出自蘋果的意願。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167506"><strong>【2月21日】中國駭客使用勒索軟體Ghost在全球70個國家發動大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167487"><strong>【2月20日】Palo Alto Networks防火牆已知漏洞被用於攻擊網頁管理介面</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167455"><strong>【2月19日】新型態名稱混淆攻擊手法鎖定雲端環境的虛擬機器映像檔而來，數千個AWS帳號受害</strong></a></p> </div></div></div>
2025/2/24 16:06作者周峻佑https://www.ithome.com.tw/news/167526
全球資安研究社群最認可的2024資安漏洞研究出爐，臺灣資安專家揭開Apache HTTP Server模組架構隱藏問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年，PortSwigger網站都會精選全球最具影響力的資安研究，發布「十大網站攻擊技法」（Top 10 Web Hacking Techniques）。今年1月，2024年度榜單正式揭曉，讓人振奮的是——第一名榮耀再度由臺灣資安專家奪下。</p> <p>來自臺灣資安公司戴夫寇爾（DEVCORE）的首席資安研究員Orange Tsai（蔡政達），他在2024年8月於美國黑帽大會上，發表了一項針對Apache HTTP Server的研究，獲選為上述榜單之首，突顯其研究在創新與影響的重要性。</p> <p>簡單來說，<a href="http://blog.orange.tw/posts/2024-08-confusion-attacks-ch/">在這項研究中，蔡政達探索了Apache HTTP Server引以為豪的模組化架構</a>，揭開了這方面架構債與問題，不只從中找出3種不同的混淆攻擊手法，包括：Filename Confusion、DocumentRoot Confusion，以及Handler Confusion，挖掘出9個漏洞，同時更是揭開了全新的攻擊面。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Confusion%20Attack.jpg" style="width: 600px;" /></p> <h3><strong>揭開Apache HTTP Server新攻擊面，強調自身研究更重視深度與完整度的展現</strong></h3> <p>究竟這項攻擊手法發現有何特殊之處，能夠獲得全球研究人員的肯定，成為2024年度最有價值的資安漏洞研究，我們找到蔡政達，請他親自提供這方面的見解。</p> <p>他認為有兩大原因，一是Apache HTTP Server使用的基數大，因為這方面的問題一旦出現，受影響範圍與受關注度都會高；另一是從研究角度來看，這次研究能夠提供一個新穎的視角，去審視網頁伺服器，並能啟發其他研究人員，將同樣的模式套用到其他目標上。</p> <p>事實上，在漏洞研究領域中，每一年都會有新的發現，因此後續還要能夠提出新的視角，都可說是相當難能可貴。</p> <p>在上述兩項原因之外，他認為這次研究成果能夠受到肯定獲選為第1名，還有一個重要的關鍵，就是自己的研究不只要能展現深度，兼顧完整性也很重要。</p> <p>他舉例，包括從一開始如何想到這個視角，一直到如何去驗證、發想攻擊面，以及找出真實的問題。</p> <p>從蔡政達的回答中，我們可以看出，他在漏洞研究領域的持續進化，不只是從當今複雜的網路架構找出具影響性的問題，其研究報告完整程度，也等於是希望打造出一份漏洞研究的楷模。</p> <p>由於我們知道，過去蔡政達在漏洞研究上，已有多次針對從「不一致」的錯誤著手，這次的研究思路有何不同？</p> <p>他表示，這次也有「不一致」概念的部分，但並非全部，這次的研究思路更像是站在更高的視角，去說明為什麼會有不一致，例如，這次問題的根因，在於這個開源網頁伺服器軟體所自豪的模組化架構。</p> <p>他進一步解釋，Apache HTTP Server發展已近30年之久，每個模組可能由不同的開發者實作，程式碼歷經多年的疊代、重整以及修改，但大家可能沒有去深究的是，模組間其實並不完全了解彼此的實作細節，但卻又被要求要一起合作。</p> <p>換言之，在缺乏一個好的開發標準或使用準則下，這中間必然會存在很多小縫隙可以被利用。</p> <p>如果用日常情境來比喻的話：就像要求兩個不熟悉彼此做事風格的人合作確實可以完成事情，但中間必然會有一些細縫或瑕疵。</p> <p>具體而言，以這次揭露的Filename Confusion攻擊手法而言，就是針對不同模組對同個欄位的理解有不一致的情形，像是一個是路徑、一個是網址，這樣的衝突，就會造成安全上的風險；而以Handler Confusion攻擊手法而言，則是尋找有模組修改到它認為不重要的欄位，但對另一個模組來說卻很重要的欄位。</p> <p>蔡政達也指出，這些都是從更上層的視角，才看得到的攻擊面。換言之，有了這樣的視角，才能讓自己的研究發現可以變得更有價值，讓更多研究人員、開發人員，能注意到更多相似的問題。</p> <p>另一方面，隨著2024十大網站攻擊技法出爐，除了上述獲選第一的Apache HTTP Server研究，我們也請蔡政達談談，還有哪些其他研究人員的題目是他也會感興趣的主題？對此，他提到SonerSource資安研究人員發表的2篇研究，雖然這兩項提名沒有入選年度10大，但都是他相當喜歡的研究，原因是這些內容也是在講不一致以及編碼問題。這兩篇研究分別是：「Joomla: PHP Bug Introduces Multiple XSS Vulnerabilities」，以及「Encoding Differentials: Why Charset Matters」。</p> <p>另外，還有像是第6名的「DoubleClickjacking」，以及「Insecurity through Censorship」，也是少數他覺得有趣，而且看完會發出莞爾一笑的研究。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/euO9WbYHm0s?si=EaZjRwvH36q6nFtA" title="YouTube video player" width="560px"></iframe></div> <p><strong>2024年8月，Orange Tsai（蔡政達）在美國黑帽大會首度發表名為「Confusion Attacks: Exploiting Hidden Semantic Ambiguity in Apache HTTP Server」的研究，揭開Apache HTTP Server模組問題與風險。特別的是，蔡政達當時因赴美簽證問題無法前往，所幸黑帽大會答應以預錄影片方式公開發表。（美國黑帽大會於2025年1月在YouTube上傳當時影片）</strong><br /> </p> </div></div></div>
2025/2/24 12:00作者羅正漢https://www.ithome.com.tw/news/167514
2024十大網站攻擊技術公布，臺灣資安專家再度稱霸第一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月，PortSwigger網站發布了<a href="https://portswigger.net/research/top-10-web-hacking-techniques-of-2024">年度「十大網站攻擊技法」（Top 10 Web Hacking Techniques 2024）</a>，再次受到我們關注，原因是臺灣專家的研究成果，同時榮獲了第1名與第4名。</p> <p>事實上，臺灣資安專家的研究已連續兩年未能進入該榜單，今年再度躋身前十，實屬難能可貴，令人振奮。</p> <p>關於這項「十大網站攻擊技法」的榜單，由PortSwigger網站發布，其結果是社群研究人員票選出15名入圍名單，再由專家小組投票排序出前10名，希望突顯每年具創新且重要的新研究。</p> <p>原因在於，每年有無數的資安研究人員公布其最新研究與發現，然而，這些資訊龐雜且零散，儘管部分研究已在大型資安會議發表，仍有許多重要成果可能被忽視。</p> <p>因此，這項票選結果，不僅突顯出全球重要的研究成果，也期望讓全球資安研究員從中獲得更多啟發，而網站安全人員也能了解未來可能威脅態勢。</p> <p>特別的是， <a href="https://portswigger.net/research/top-10-web-hacking-techniques-of-2024-nominations-open">今年有103件研究報告獲得提名</a>，比起往年數量呈現接近倍增的情形，不僅是數量大增，負責舉辦此計畫的PortSwigger首席研究員James Kettle指出，這是他自2018年負責此專案以來，見過最高品質的一批研究成果。</p> <p>換言之，隨著最新的10大網站攻擊技法出爐，也意味已經幫助大家選出年度最好的部分。</p> <h3><strong>臺灣資安研究人員發表2項內容從103項提名脫穎而出，入選第1名與第4名</strong></h3> <p>這次，臺灣資安研究人員能夠再次從中脫穎而出，獲選為第1名與第4名，更是難得。而且兩項都與臺灣資安公司戴夫寇爾（DEVCORE）首席資安研究員Orange Tsai（蔡政達）有關。</p> <p>事實上，蔡政達在<a href="https://www.ithome.com.tw/news/126410">2017年</a>、<a href="https://www.ithome.com.tw/news/129314">2018年</a>發表的研究成果，已經獲得此榜第1名的殊榮，此後三年也持續入榜，其中2019年、2021年的發表，也有在黑帽大會上獲得資安屆奧斯卡獎Pwnie Awards的獎項。因此，他的研究方向，一直是全球研究人員關注的焦點。</p> <p>這次獲選第1名的研究，是蔡政達在2024年8月於美國黑帽大會首度公開發表的內容，其標題是：「Confusion Attacks: Exploiting Hidden Semantic Ambiguity in Apache HTTP Server」。</p> <p>他當時還因為赴美簽證的問題，無法前往，讓黑帽大會破例同意以預錄影片方式公開發表，後續他亦在同一個月，在<a href="https://www.ithome.com.tw/news/164681#ConfusionAttacks">國內的HITCON社群場以中文闡釋這次的成果與經驗</a>。</p> <p>簡單來說，這次研究的重點在於，是他探索出Apache HTTP Server中長年存在的架構問題，揭開了全新的攻擊面，不只研究出3種混淆攻擊手法，並且發現與通報了9個漏洞。</p> <p>另一獲選第4名的研究內容，是蔡政達與他同公司另一位資安研究員splitline（黃志仁）共同研究的成果，他們於兩個月前（2024年12月）歐洲黑帽大會首度公開發表，其標題是：「WorstFit: Unveiling Hidden Transformers in Windows ANSI」。</p> <p>這項研究的重點，在於揭開了Windows ANSI中隱藏的轉換問題，特別的是，公布年度榜單的PortSwigger專家James Kettle還提到，字元轉換向來被視為高風險區域，但實際應用中的攻擊案例卻相對罕見。因此，這項研究不僅成功證明了此類攻擊的高難度，甚至還引發供應商間的相互指責情形。</p> <p>整體而言，從2024年度十大網站攻擊技法的公布來看，不僅突顯了全球資安研究人員的重要貢獻，也顯現出臺灣在全球漏洞研究的實力。</p> <p>未來，我們也希望有更多來自臺灣的資安專家，在資安漏洞研究領域深耕鑽研，持續突破，同樣躍上國際舞臺與受到肯定。</p> <p class="rtecenter"><strong>繼續閱讀</strong>：<strong><a href="https://www.ithome.com.tw/news/167514"><span style="color: rgb(0, 0, 255);">全球資安研究社群最認可的2024資安漏洞研究出爐，臺灣資安專家揭開Apache HTTP Server模組架構隱藏問題</span></a></strong></p> <p class="rtecenter"><strong style="text-align: center;">繼續閱讀</strong><span style="text-align: center;">：</span><strong><a href="https://www.ithome.com.tw/news/167515"><span style="color: rgb(0, 0, 255);">臺灣資安專家揭開WorstFit，成功探索Windows ANSI字元轉換雷區，找出全新攻擊面與3種攻擊手法</span></a></strong></p> <h3 class="rtecenter">　<br /> <span style="color: rgb(178, 34, 34);"><strong>2024年度十大網站攻擊技術手法一覽</strong></span></h3> <p>1. <span style="color: rgb(0, 0, 0);"><strong>Confusion Attacks: Exploiting Hidden Semantic Ambiguity in Apache HTTP Server</strong></span> - <span style="color: rgb(0, 0, 255);">Orange Tsai</span><br /> 2. <span style="color: rgb(0, 0, 0);"><strong>SQL Injection Isn't Dead: Smuggling Queries at the Protocol Level</strong></span> - <span style="color: rgb(0, 0, 255);">Paul Gerste</span><br /> 3. <span style="color: rgb(0, 0, 0);"><strong>Unveiling TE.0 HTTP Request Smuggling</strong></span> - <span style="color: rgb(0, 0, 255);">Paolo Arnolfo、Guillermo Gregorio、 @_medusa_1_</span><br /> 4. <span style="color: rgb(0, 0, 0);"><strong>WorstFit: Unveiling Hidden Transformers in Windows ANSI</strong> </span>- <span style="color: rgb(0, 0, 255);">Orange Tsai、Splitline</span><br /> 5. <span style="color: rgb(0, 0, 0);"><strong>Exploring the DOMPurify library: Bypasses and Fixes</strong></span> - <span style="color: rgb(0, 0, 255);">Mizu</span><br /> 6. <span style="color: rgb(0, 0, 0);"><strong>DoubleClickjacking: A New Era of UI Redressing</strong></span> - <span style="color: rgb(0, 0, 255);">Paulos Yibelo</span><br /> 7. <span style="color: rgb(0, 0, 0);"><strong>CVE-2024-4367 - Arbitrary JavaScript execution in PDF.js</strong></span> - <span style="color: rgb(0, 0, 255);">Thomas Rinsma</span><br /> 8. <span style="color: rgb(0, 0, 0);"><strong>OAuth Non-Happy Path to ATO</strong></span> - <span style="color: rgb(0, 0, 255);">Oxrz</span><br /> 9. <span style="color: rgb(0, 0, 0);"><strong>ChatGPT Account Takeover - Wildcard Web Cache Deception</strong></span>- <span style="color: rgb(0, 0, 255);">Harel</span><br /> 10. <span style="color: rgb(0, 0, 0);"><strong>Hijacking OAuth flows via Cookie Tossing</strong></span> - <span style="color: rgb(0, 0, 255);">Elliot Ward</span></p> <p><span style="color: rgb(105, 105, 105);">資料來源：PortSwigger，iThome整理，2025年2月</span></p> <p> </p> </div></div></div>
2025/2/24 12:01作者羅正漢https://www.ithome.com.tw/news/167513
臺灣資安專家揭開WorstFit，成功探索Windows ANSI字元轉換雷區，找出全新攻擊面與3種攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在2個多月前的2024歐洲黑帽大會（Black Hat Europe 2024）上，難得有來自臺灣的兩位資安研究人員登臺，並揭露一項名為WorstFit的研究成果，其內容是發現Windows ANSI字元轉換的潛在問題。特別的是，當時我們已經注意到這項研究發布，因為這是臺灣資安研究人員的發表，但對於其細節與意義並不是那麼清楚，然而，這項創新研究在今年1月時，榮獲了2024年度「十大網站攻擊技法」第4名。</p> <p>具體而言，這項研究是臺灣資安公司戴夫寇爾（DEVCORE）首席資安研究員Orange Tsai（蔡政達），以及資安研究員Splitline（黃志仁），兩人共同發表，其研究成果在於，能夠實際找出Windows ANSI字元轉換的潛在問題，成功揭露了一個嶄新的攻擊面，挖掘出3種攻擊手法，包括：Filename Smuggling、Argument Splitting，以及Environment Variable Confusion。</p> <p>同時他們還建立了一個WorstFit專屬網站，幫助外界了解此問題的狀況，並希望更多研究人員能繼續探索這個攻擊面，及早讓相關潛藏問題獲得重視與解決。後續，他們也在<a href="https://devco.re/blog/2025/01/09/worstfit-unveiling-hidden-transformers-in-windows-ansi/">2025年1月9日於戴夫寇爾官方部落格上，公布了WorstFit攻擊研究的完整內容</a>。</p> <p>這項研究有何新奇之處？我們找到蔡政達與黃志仁，請他們談談這項研究的發現。</p> <p>蔡政達表示，這次他們發現了一個值得研究的現象，當Windows要處理的字元不在ASCII範圍時，會自動地套用一個神奇的特性——把結果轉成「看起來跟原本字元很像的ASCII字元」。</p> <p>例如，無限符號∞會變成數字8，數學符號π會被轉成小寫英文p，甚至日圓符號「¥」會被轉成可用來分隔目錄的反斜線「\」。</p> <p>有趣的是，上述這個神奇的特性，被微軟稱為BestFit，因此他們在探索此特性的相關問題之際，同時也將這項研究取名為WorstFit。</p> <p>另一引發我們關注的是，有資安專家指出，這項研究發現帶來了深遠的意義深遠。例如，公布2024十大網站攻擊技法的PortSwigger專家James Kettle表示：每個人都知道字元轉換絕對是一個雷區，但卻很少有實際利用出現，這次能夠證明這類型攻擊相當不易，甚至也引發供應商相互指責的情況。</p> <p>究竟這項研究帶來了什麼的影響？對此問題，蔡政達表示，漏洞研究的完整性仍是一大關鍵，過去字元轉換問題只有零星的個案，但並大家都沒有深究其原因，這次他們將這個概念變成實際的手法，同時也具體的剖析、闡述其機制與原理，讓大家可以去找到很多的個案。</p> <p>至於供應商的狀況，他指出此問題的成因有點複雜，因為牽扯到3個方面，涵蓋開發者、編譯套件、作業系統底層，有些廠商認為不是他們的問題，該從微軟方面去修補，而微軟認為這是開發者沒有仔細閱讀手冊所導致的問題。</p> <p>黃志仁也指出，上述這些問題與狀況，正是他們在研究過程中遇到的最大挑戰。他表示：要如何從一個新發現的特性（Best-fit），找到現實世界的用例，再從用例延伸到實際漏洞。而且，在揭開新的攻擊面之際，該如何說服開發者這是漏洞的一種，以及漏洞責任歸屬的問題，都是他們需要一一面對的狀況。</p> <p>例如，在這項研究中，黃志仁提出的兩個攻擊向量，包括argument splitting、environment variable，以前者為例，在通報攻擊手法與弱點後，他們收到的第一個回覆，就是Curl開發者最初對於這是否屬於 Curl的問題感到困惑，並認為這是Windows的功能。</p> <p>換言之，這項研究成果如同找出了一個埋藏於三不管地帶的問題，需要被外界重視與因應。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）WorstFit.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89WorstFit.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>在這次的漏洞披露過程中，蔡政達與黃志仁也同時調查了開源生態系統，以識別更多受影響的應用程式，並嘗試將相關資訊回報給維護者。以上是他們目前已通知與掌握的狀況。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）WorstFit.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89WorstFit.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>公布2024年十大網站攻擊技法的PortSwigger專家James Kettle指出，字元轉換在實際應用中的攻擊案例相對罕見，但這項研究成功證明了此類攻擊，並且還引發供應商間的相互指責的狀況。</strong></span></p> <h3><strong>如何進一步擴散DEVCORE資安研究人員實力？主動式產品安全研究成新焦點</strong></h3> <p>值得一提的是，這次WorstFit的研究成果，會在下個月於國內有公開演說發表。</p> <p>在2月中戴夫寇爾的新春媒體記者會上，該公司共同創辦人翁浩正與徐念恩提到，他們在3月將舉行DEVCORE Conference 2025，當中一場演說就是蔡政達與黃志仁針對WorstFit進行闡釋，並是此主題的首度中文演說發表，讓國內研究人員可以更清楚其研究思路與經驗。</p> <p>對於該公司研究人員的實力展現，徐念恩指出，在漏洞研究領域，不僅是上述入榜10大網站駭客攻擊技法的兩位研究人員，自家團隊也持續在每年Pwn2Own漏洞研究競賽上獲得佳績，像是最近在2024年10月Pwn2Own Ireland獲得第4名，取得5種設備的完整控制權、獲得超過300多萬的獎金，並且是唯一成功挑戰AeoTec Smart Home Hub的隊伍，持續協助業者找出產品的未知漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）DEVCOREˍ2024_TVN_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89DEVCORE%CB%8D2024_TVN_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>而且他們不只幫助全球，也幫助國內資安產品。例如，近年國內TVN漏洞平臺的漏洞揭露，有四分之一比例都是該公司研究人員通報。對此，翁浩正也提到新的期許，他們將提供主動式產品安全研究。換言之，他們希望自家資安研究人員能幫助產品防禦強化早於資安威脅，達到深度交流與知識分享，及早找出潛藏的威脅弱點，而不像過去只是經由漏洞獎勵計畫來通報問題。</p> <p>我們認為，此舉符合現代所謂「資安左移」的概念，讓臺灣資安研究人員的能量，也可以透過這種方式，將駭客思維導入於更多企業團隊之內。</p> <p>但另一方面，隨著AI技術的演進，如今2025年，用AI幫助資安漏洞研究，像是去年11月Google揭露AI抓漏專案Big Sleep，但目前還沒有看到更多對此課題的探討。我們認為，不論是資安研究人員如何善用AI技術協助自身漏洞研究，以及如何打造更AI自動化的這方面工具，也是國內資安界可以去設想與探索的。</p> </div></div></div>
2025/2/24 12:04作者羅正漢https://www.ithome.com.tw/news/167515
Grok 3一度會過濾批評馬斯克和川普散布假訊息的資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克（Elon Musk）的xAI上周公布Grok 3，宣稱是全球最強大的大語言模型。不過有使用者<a href="https://www.reddit.com/r/singularity/comments/1iw991o/elon_musk_is_already_trying_to_censor_grok_3/" target="_blank">發現</a>，Grok 3的系統設計，一度主動過濾馬斯克和川普散布假訊息的資訊。</p> <p>Reddit用戶以Think設定測試Grok 3時，當提示詢問，誰是最主要的假訊息散布者時，這個推理LLM列出了回答前的思維鏈過程。在第一階段，Grok 3列出了系統提示的特定指令和要求；這些要求之一是忽略所有提及川普和馬斯克散布假訊息的來源，也不得發明或自創沒有參考支援的資訊，此外，也要求模型不要輕易相信主流論述，必須採取批判思考。</p> <p>而在思維過程中，Grok 3想，如果這個提示目的在測試它遵循指令的能力，它就要跳過所有說馬斯克／川普是散布假訊息的資料來源。但它一旦遵照指令，就不知要提供給用戶哪個名字，認為「很兩難」。</p> <p>Techcrunch也<a href="https://techcrunch.com/2025/02/23/grok-3-appears-to-have-briefly-censored-unflattering-mentions-of-trump-and-musk/" target="_blank">複製</a>了Reddit用戶的操作，也得到類似結果。不過周末稍晚再測試，卻沒再見到Grok 3內心衝突的小劇場。</p> <p>xAI周末向媒體證實，Grok 3原本的系統設定的確是要求它略過對川普和馬斯克不利的資訊源，公司希望將系統提示指令透明化，讓大家可以驗證團隊對Grok 的指令。在用戶點出此事後，xAI內部決定變更設定。雖然變更了要求，但<a href="https://x.com/ibab/status/1893778842399154463" target="_blank">xAI說</a>，此舉有違該公司的價值觀。</p> <p>這點和馬斯克宣稱Grok百無禁忌的說法不同。2023年底馬斯克<a href="https://www.ithome.com.tw/news/159651" target="_blank">公布</a>Grok時，曾說Grok不只提供精確資訊，還在其回應中加入一點機智及大膽精神、有幽默感，它會回答任何問題，甚至連大部分AI系統拒絕回答的辛辣問題也都會回答。用戶<a href="https://www.reddit.com/r/ChatGPT/comments/1essl5k/grok_has_absolutely_no_filters_for_its_image/" target="_blank">反映</a>，它不但可能用語粗俗，也不介意產出裸露、色情圖片。</p> </div></div></div>
2025/2/24 13:04作者林妍溱https://www.ithome.com.tw/news/167525
OpenAI AI代理人Operator推向英、日、韓等國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/167143" target="_blank">美國</a>推出一個月後，OpenAI上周<a href="https://x.com/OpenAI/status/1892832374997631250" target="_blank">宣布</a>，AI代理人Operator逐步推向澳洲、巴西、加拿大、印度、日本、新加坡、南韓、英國等支援ChatGPT的大多數地方。繁體中文網站亦已上線。</p> <p>雖然OpenAI官網沒有提及臺灣，但中文版<a href="https://operator.chatgpt.com/" target="_blank">Operator專門網頁</a>已經上線。OpenAI表示，目前還在努力讓Operator在歐盟、瑞士、挪威、冰島和列支敦士登等國上線，要大家拭目以待。</p> <p>Operator是以GPT-4o為基礎，讓ChatGPT具備看/讀、寫/打字、點擊或操作滑鼠的能力，可代使用者執行多項任務，包括上網搜尋、操作應用程式、甚至訂餐廳、訂外送或下單。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0224-OpenAI-Operator_priview_for%20Pro%20user.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_OpenAI</span></span></p> <p>Operator現階段僅提供給月付200美元的Pro方案用戶。不過OpenAI警告用戶，Operator為研究實驗版，用戶仍然必須仔細監看Operator的執行成果。</p> <p>Google去年12月<a href="https://www.ithome.com.tw/news/166480" target="_blank">公布</a>AI代理人Project Astra、Mariner及Jules，可代用戶上網、執行Web任務及整合GitHub流程。目前用戶可加入<a href="https://deepmind.google/technologies/project-astra/" target="_blank">Project Astra</a>和<a href="https://deepmind.google/technologies/project-mariner/" target="_blank">Mariner</a>等候清單等待試用。而Anthropic去年就已<a href="https://www.anthropic.com/news/3-5-models-and-computer-use" target="_blank">公測</a>代理人Computer Use。</p> </div></div></div>
2025/2/24 11:09作者林妍溱https://www.ithome.com.tw/news/167523
【資安週報】0217~0221，中國駭客組織Salt Typhoon入侵全球電信業後續消息不斷，思科Talos公布入侵…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年2月第二個禮拜的資安新聞中，最受矚目是中國駭客組織Salt Typhoon攻擊全球電信業的後續消息。資安業者Recorded Future近兩個月發現，該組織持續針對尚未修補的思科網路設備發動攻擊，全球有1.2萬臺思科設備的網頁管理介面曝險，而且，歹徒主要鎖定1千多臺試圖發動攻擊，相當具針對性，目前已知有多個國家的電信業受害，包括英國、美國、南非、義大利、泰國與緬甸等。</p> <p>而在我們整理本期週報之際，另外發現<a href="https://blog.talosintelligence.com/salt-typhoon-analysis/">思科Talos在2月20日亦發布這方面報告</a>，他們指出，攻擊者皆是透過獲取受害者的合法登入憑證，進而取得對Cisco設備的初始存取權限，其手法包括透過網路設備配置獲取憑證，破解弱密碼，以及部署自製工具JumbledPat針對Cisco設備進行封包擷取，藉此捕捉更多憑證。此外，他們也有發現一起案例，是對方濫用已知漏洞CVE-2018-0171並取得登入憑證。</p> <p>國際間還有多項重要網路攻擊活動的揭露，有3起同樣與中國駭客組織威脅有關，涵蓋零時差漏洞攻擊、透過ERP入侵的攻擊，以及勒索軟體攻擊。</p> <p>●日本多個產業遭中國駭客APT41旗下Winnti鎖定，初始入侵管道是利用目標組織Web伺服器中ERP系統的SQL注入漏洞，並在Web伺服器上設置WebShell。<br /> ●南亞一家中型軟體公司遭勒索軟體RA World攻擊，資安業者賽門鐵克指出，攻擊者是擅長間諜攻擊的中國駭客所為，推測該組織成員正私下發動勒索軟體牟利。<br /> ●Ivanti在1月修補已遭中國駭客利用的漏洞CVE-2025-0282，然而，日本JPCERT/CC近期指出，當地多家企業在12月遭到這個零時差漏洞的攻擊而受害。<br /> ●兩資安業者針對北韓駭客Kimsuky（又名APT43）攻擊行動提出警告，指出手法是以PowerShell命令散布惡意程式的有效酬載，鎖定韓國企業、政府機關攻擊。<br /> ●微軟揭露俄羅斯駭客Sandworm（又名APT44）的攻擊行動BadPilot，該惡意組織過去以郵件伺服器弱點入侵，2024年轉向利用ScreenConnect、FortiClient EMS特定已知漏洞。</p> <p>值得我們注意的是，去年國內資安業者已經指出，中國駭客組織滲透企業竊密，出現利用ERP入侵企業的攻擊手法，以及主要發動網路間諜攻擊的中國駭客組織，隨著當地經濟衰退而展開勒索攻擊，而從上述新聞可以看出，其他國家如今也發生類似的資安事故。</p> <p>在威脅態勢與攻擊手法方面，有3個重要新聞，其中Ghost勒索軟體的危害範圍已遍及全球70多國，需要特別留意。</p> <p>●美國CISA、FBI發布Ghost（Cring）勒索軟體警報，指出背後攻擊者是中國駭客，並公布相關攻擊TTP與入侵偵測指標IoC。<br /> ●出現鎖定AWS用戶的新型態名稱混淆攻擊手法，目標是染指AWS的映像檔，雲端監控業者Datadog將此手法命名whoAMI，並指出已有數千個AWS帳號淪陷。<br /> ●macOS惡意軟體XCSSET出現新的變種，具有更高明的混淆與程式感染手法。</p> <p>在漏洞利用消息方面，本週有多起事件顯示，駭客正積極鎖定近期新修補的已知漏洞，這些狀況突顯了及時更新系統的重要性。</p> <p>●Craft CMS內容管理系統在1月中修補的漏洞CVE-2025-23209，發現已遭鎖定利用。<br /> ●Palo Alto Networks在一星期前修補的漏洞CVE-2025-0108、CVE-2025-0111，發現有攻擊者串連這兩個漏洞，與去年11月修補的另一漏洞，用於實際攻擊行動。<br /> ●SonicWall SonicOS SSLVPN在1月上旬修補的漏洞CVE-2024-53704，已遭利用於實際攻擊行動。</p> <p>還有一項PHP漏洞CVE-2022-31631值得留意，原因是這項漏洞已在2023年1月修補，當時AWS、NetApp、Oracle、Red Hat等業者都針對旗下導入PHP元件的產品，修補這項漏洞，但當時這個漏洞似乎受到列管，如今才於NVD與CVE平臺對外公開。</p> <p>在資安防禦新聞方面，國內有一項重要消息，由於不久前馬偕紀念醫院遭遇勒索軟體攻擊，在數位發展部資安署新任署長上任記者會，署長蔡福隆透露，今年將以醫療機構作為演練場域，提升這類關鍵基礎設施的防護能力。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/167393"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月17日】資安業者揭露2024年9月Salt Typhoon攻擊全球電信業者更多細節，利用已知漏洞入侵思科設備</span></strong></a></h3> <p>中國駭客組織Salt Typhoon針對多家美國電信業者發動攻擊的事故，自去年9月曝光後，不斷有新的消息傳出，截至目前為止，傳出<a href="https://www.ithome.com.tw/news/166851">美國政府確認有9家當地電信業者受害</a>，並<a href="https://www.ithome.com.tw/news/167063">指控有中國資安業者參與相關攻擊</a>，如今這起事故傳出還在進行，有新的攻擊行動出現。</p> <p>資安業者Recorded Future透露，這些駭客去年底將攻擊目標擴及全球各地的電信業者，並透過思科網路設備已知漏洞CVE-2023-20198、CVE-2023-20273取得初始入侵管道。</p> <h3><a href="https://www.ithome.com.tw/news/167446"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月18日】Ivanti旗下SSL VPN系統零時差漏洞在日本傳出攻擊行動</span></strong></a></h3> <p>1月初資安業者Ivanti針對已被用於攻擊行動的CVE-2025-0282提出警告，協助調查的資安業者Mandiant指出，中國駭客組織UNC5337將其用於實際攻擊行動，散布Spawn系列的惡意軟體，但這起事故近期出現了後續發展。</p> <p>日本電腦危機處理暨協調中心（JPCERT/CC）揭露於12月下旬出現的漏洞利用攻擊事故，並指出駭客打造更具威力的惡意程式SpawnChimera，對當地的企業組織下手。</p> <p><a href="https://www.ithome.com.tw/news/167455"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月19日】新型態名稱混淆攻擊手法鎖定雲端環境的虛擬機器映像檔而來，數千個AWS帳號受害</span></strong></a></p> <p>利用使用者偷懶、輸入錯誤，進行名稱混淆的攻擊手法，最近兩到三年非常汜濫，而最常見的攻擊對象，就是針對使用NPM、PyPI套件的開發人員，如今有人將這種攻擊手法運用到雲端環境，引起雲端服務監控業者的注意。</p> <p>雲端服務監控業者Datadog揭露針對AWS用戶而來的攻擊手法whoAMI，攻擊者使用名稱混淆手法提供虛擬機器映像檔，就有機會在使用者的EC2執行個體執行任意程式碼。值得留意的是，已有AWS帳號實際受害的情況發生。</p> <h3><a href="https://www.ithome.com.tw/news/167487"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月20日】Palo Alto Networks防火牆已知漏洞被用於攻擊網頁管理介面</span></strong></a></h3> <p>鎖定Palo Alto Networks防火牆漏洞進行利用的攻擊行動，去年11月已傳出相關資安事故，如今有人將當時公布的漏洞與今年2月的漏洞串連，發起新一波的攻擊行動。</p> <p>值得留意的是，大多數的防火牆曝露在網際網路上，而容易成為駭客下手的目標，若是沒有套用相關的修補程式，就有可能遭到入侵，甚至成為攻擊者進入企業組織內部環境的管道。</p> <h3><a href="https://www.ithome.com.tw/news/167506"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月21日】中國駭客使用勒索軟體Ghost在全球70個國家發動大規模攻擊</span></strong></a></h3> <p>近期有許多資安業者針對中國駭客的攻擊行動提出警告，並有部分涉及勒索軟體攻擊，其中，美國政府針對一種由中國駭客發起的勒索軟體Ghost攻擊行動提出警告，而引起資安界高度關注。</p> <p>值得留意的是，這款勒索軟體的攻擊範圍相當廣泛，橫跨70個國家，但究竟是否包含臺灣？有待其他資安業者進一步揭露相關細節。</p> <p> </p> </div></div></div>
2025/2/24 10:00作者羅正漢https://www.ithome.com.tw/news/167486
網釣工具包Astaroth同時針對Gmail及M365帳號而來，能繞過多因素驗證並挾持帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚攻擊的活動出現分工，駭客製作工具包吸引更多打手參與，最近兩到三年更製作出能繞過多因素驗證（MFA）的作案工具，但大部分鎖定目標主要是Microsoft 365帳號，如今有駭客開發能對其他帳號下手的新工具，因而引起研究人員的注意。</p> <p>資安業者SlashNext揭露<a href="https://slashnext.com/blog/astaroth-a-new-2fa-phishing-kit-targeting-gmail-yahoo-aol-o365-and-3rd-party-logins/">今年一月底出現的網釣工具包Astaroth</a>，賣家標榜此工具能挾持連線階段（Session）及即時帳密攔截，從而繞過Gmail、Yahoo、M365等帳號的多因素驗證機制。</p> <p>SlashNext資安研究員Daniel Kelley提及，這個網釣套件包相當特別，駭客利用類似另一個網釣套件Evilginx型態的反向代理伺服器，扮演中間人角色（MitM），從而檢查及操弄使用者及身分驗證服務之間的流量，號稱能即時收集帳號密碼、Token、連線階段cookie等資料。</p> <p>乍聽之下，Astaroth的主要功能，與其他能進行對手中間人（AiTM）的網釣工具包雷同，但Daniel Kelley指出做法有明顯的差異，其中一項就是駭客的網釣網域具備SSL憑證，使得瀏覽器不會彈出警示訊息，受害者也難以察覺有異，但在此同時，Astaroth會將使用者發出的請求轉送到真正的身分驗證服務，並秘密攔截相關敏感資料。</p> <p>一旦使用者輸入使用者名稱及密碼，這些資料就會隨著使用者代理字串（User Agent String）、IP位址，釣魚網頁就會在收集之後轉送，有了使用者代理字串及IP位址，攻擊者就能複製受害者的連線階段環境，降低被發現的風險。</p> <p>無論是簡訊驗證碼、手機驗證碼產生器App，還是推送通知的多因素驗證因子，Astaroth都會即時自動收集相關的Token，攻擊者能即時從網頁管理介面或Telegram收到通知。</p> <p>最終在成功通過正常的身分驗證流程之後，該網釣工具包會截取使用者的連線階段Cookie讓攻擊者運用，駭客便能使用Burp Suite一類的工具，將相關資料注入瀏覽器，濫用受害者的帳號，無須再次進行多因素驗證。</p> </div></div></div>
2025/2/23 19:41作者周峻佑https://www.ithome.com.tw/news/167516
蘋果移除英國iCloud的進階資料防護功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在英國<a href="https://www.ithome.com.tw/news/167278" target="_blank">要求</a>蘋果開放存取iCloud加密備份的後門之後，蘋果上周五（2/21）向<a href="https://www.bloomberg.com/news/articles/2025-02-21/bybit-says-exchange-wallet-hacked-1-5-billion-estimated-loss" target="_blank">彭博社</a>（Bloomberg）與<a href="https://www.theverge.com/news/617273/apple-removes-encryption-advanced-data-protection-adp-uk-spying-backdoor" target="_blank">The Verge</a>證實，已不再向英國的新用戶提供iCloud的進階資料防護（Advanced Data Protection，ADP）功能，且最終會在當地全面禁用該功能。</p> <p>蘋果是在2022年的12月<a href="https://www.ithome.com.tw/news/154601" target="_blank">發表</a>ADP、iMessage聯絡人金鑰驗證（Contact Key Verification）及Apple ID安全金鑰（Security Keys for Apple ID）等3項iCloud安全功能，其中，ADP提供端對端的資料加密能力，只有用戶才能解密資料，也只能在可信任的裝置上解密。</p> <p>當時蘋果強調，即便是在雲端資料外洩的情況下，ADP也可用來保護大多數的iCloud資料。</p> <p>其實iCloud中有14種資料類別的預設值就是端對端加密，如鑰匙圈中的密碼，或者是健康資料，若使用者進一步啟用ADP，基於端對端加密的範圍就會擴大到23種資料類別，新增對iCloud備份、筆記與照片等資料的保護，而因為需要與全球系統互動而未能納入ADP的，則僅有iCloud Mail、聯絡人與行事曆等資料類別。</p> <p>關閉ADP功能意味著英國用戶的資料將可被蘋果存取，並與執法機構分享。</p> <p>根據外電報導，英國是在今年1月私下命令蘋果繞過iCloud上，用來保護用戶資料的加密機制，儘管雙方都未證實此一傳聞，但蘋果在上周的聲明中透露，在此一資料外洩與客戶隱私威脅日益升溫的時刻，非常遺憾無法藉由ADP來保護英國客戶，暗示情非得已。</p> <p>除了英國的新客戶無法再啟用ADP功能之外，蘋果最終也將關閉既有英國客戶的ADP功能，只是尚未公布時間表。</p> </div></div></div>
2025/2/24 08:28作者陳曉莉https://www.ithome.com.tw/news/167517
駭客組織RedCurl利用Adobe元件側載惡意程式，意圖假借求職對法律產業發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客假借求職名義向企業組織發動網路釣魚攻擊的情況，有不少是為了籌措營運資金的北韓駭客所為，但近期有其他駭客這麼做而引起關注。</p> <p>資安業者eSentire<a href="https://www.esentire.com/blog/unraveling-the-many-stages-and-techniques-used-by-redcurl-earthkapre-apt">今年1月發現被稱做Earth Kapre、RedCurl的駭客組織攻擊行動</a>，這些駭客鎖定律師事務所及法律服務行業而來，過程中利用Adobe應用程式元件ADNotificationManager.exe，以側載的方式執行他們的惡意程式載入工具，並利用微軟網路公用程式Active Directory Explorer這類工具從事偵察，然後以7-Zip打包竊得資料且設置密碼保護，最終使用PowerShell發出請求，將資料透過雲端儲存服務供應商Tab Digital外流。</p> <p>究竟這些駭客如何接觸受害者？他們假借求職為誘餌寄送釣魚郵件，信中挾帶PDF檔案，一旦收信人開啟並點選其中的連結，電腦就會下載ZIP壓縮檔，其內容為IMG光碟映像檔，若是收信人開啟，就會在電腦裡掛載。</p> <p>接著，收信人會看到檔名以CV Applicant開頭的螢幕保護程式檔案（SCR），此檔案實際上就是ADNotificationManager.exe。一旦開啟，電腦就會載入惡意程式載入工具netutils.dll。</p> <p>然後，電腦就會執行名為Simple Downloader的惡意程式，進行第一階段的攻擊，駭客呼叫bcrypt.dll有關字串解密功能的API，並用來產生字串的SHA256雜湊值。而這組雜湊值開頭的16位元，就是用來充當解密攻擊流程各種有效酬載的AES金鑰，並與C2通訊接收下個階段的指令，執行惡意程式。</p> <p>這些駭客利用批次檔自動化收集受害電腦的系統資訊，例如：本機使用者帳號資訊、系統資訊、磁碟狀態、安裝的防毒軟體，然後執行AD Explorer輸出結果，並透過7-Zip打包成以密碼保護的壓縮檔，最終發出PowerShell PUT請求，將檔案上傳到C2伺服器mia.nl.tab[.]digital。</p> </div></div></div>
2025/2/23 12:00作者周峻佑https://www.ithome.com.tw/news/167512
中國駭客Earth Preta假借打擊犯罪為由散布惡意程式ToneShell，意圖利用作業系統預載公用程式迴避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門鎖定臺灣、越南、馬來西亞等亞太國家發動攻擊，被稱做Mustang Panda、Earth Preta的中國駭客組織，自2022年至今已有200家企業組織受害，如今有資安業者提出警告，這些駭客更換手法相當值得留意。</p> <p>資安業者趨勢科技指出，<a href="https://www.trendmicro.com/en_us/research/25/b/earth-preta-mixes-legitimate-and-malicious-components-to-sidestep-detection.html">他們最近觀察到新一波的攻擊行動裡</a>，Earth Preta一旦發現受害電腦執行ESET防毒軟體，便將程式碼注入Windows公用程式Microsoft Application Virtualization Injector（MAVInject.exe），使得有效酬載注入另一個用來與其他網路上的電腦傳送及接受訊號的公用程式waitfor.exe。此外，這些駭客也濫用安裝程式建置工具Setup Factory，投放並執行有效酬載。這麼做的目的，主要是為了迴避偵測，並且能持續在受害電腦活動。</p> <p>針對這些駭客的攻擊流程，趨勢科技資安研究員Nathaniel Morales、Nick Dai表示，他們看到的第一個惡意檔案IRSetup.exe，主要是用來投放一系列的作案工具。</p> <p>接著駭客執行專門針對泰國使用者的誘餌PDF檔案，意圖在後臺部署有效酬載的過程裡分散受害者的注意。而這個誘餌文件的內容，聲稱是為了開發防止犯罪的平臺，要求受害者配合建立電話號碼的白名單，駭客為了取信他們，佯稱此專案有多個政府機關背書。</p> <p>在此同時，駭客利用惡意軟體投放工具執行電玩廠商藝電（Electronic Arts）開發的執行檔OriginLegacyCLI.exe，以側載的方式執行後門程式ToneShell（EACore.dll）。</p> <p>針對這個後門程式，趨勢科技特別提及會檢查電腦當中，是否有ESET防毒軟體元件ekrn.exe、egui.exe的處理程序執行，假若偵測到其中一種，該惡意程式就會將自己註冊到作業系統登錄機碼，並執行名為DLLRegisterServer的功能。</p> <p>而DLLRegisterServer會接著執行waitfor.exe及MAVInject.exe，從而讓惡意程式碼注入正在執行的處理程序，從而繞過防毒軟體的偵測。</p> <p>罕見的是，研究人員特別提及這支惡意程式並非只針對部署ESET防毒的電腦而來。假若駭客發現受害電腦並非使用該廠牌的防毒軟體，就會直接利用特定的API將程式碼注入waitfor.exe。</p> <p>對於駭客試圖繞過ESET防毒軟體的情況，<a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-abuse-microsoft-app-v-tool-to-evade-antivirus/">資安業者ESET向資安新聞網站Bleeping Computer提出說明</a>，表示他們知悉趨勢科技的發現，但不同意調查報告提及攻擊者「有效地繞過ESET防毒」的說法，強調趨勢科技並未向他們通報及討論相關發現。ESET認為駭客並非使用新手法，他們也從今年1月增加有關活動的偵測能力。而對於攻擊者的身分，ESET認為是與中國有關的駭客組織CeranaKeeper所為，並強調ESET用戶都受到保護，能抵禦該惡意軟體及相關攻擊手法。</p> </div></div></div>
2025/2/22 20:52作者周峻佑https://www.ithome.com.tw/news/167511
金融科技產業聯盟成立三大重點：加大合作意願、建立持續合作創新機制、第一階段重點發展金融防詐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「希望透過打團體戰，結合大家力量，一起做有利臺灣金融市場的科技發展。」金管會主委彭金隆一句話，點出金融科技產業聯盟成立的初衷。建立金融科技產業聯盟，是他在去年七月發布的五大金融科技策略中，其中一項重要政策。</p> <p>臺灣金融科技產業聯盟在2月19日正式成立，透過四大工作圈的方式，由四大金控擔任召集人，帶頭推動不同主題的數位金融創新計畫。彭金隆認為，臺灣金融市場雖高度競爭，但相較於國外，臺灣大型金融機構的規模仍偏小，當金融機構各自發展金融科技，即便窮盡努力，可能還是難以達成預期目標。這是金管會力推金融業者打團隊戰的起因。</p> <p>談到聯盟成立的初衷，金管會金融市場發展及創新處處長胡則華表示，過去金管會透過金融科技共創平臺促進產業溝通，但主要由主管機關主導。隨著金融業建立淨零推動工作平臺，推動方式轉為業者主導，主管機關的角色逐漸淡化。如今，產業聯盟成立，決策大多交由業者負責，主管機關僅為輔助角色。「漸漸地，我們可以把相關重責大任，請業者自己承擔。」胡則華透過這句話，點出了主管機關監管態度的轉變，和產業聯盟的定位。</p> <p>胡則華進一步用8個字，「共好、綜效、互補、務實」，來形容這個新產業聯盟的定位。除了透過聯盟合作來達到共好、加速產業發展實現綜效，並和現有機制，例如相關公會互補、合作。胡則華特別解釋務實的重點，她強調，產業聯盟要回歸到金融業與金融市場的根本需求，在務實情況下推動集體創新，例如，「對金融市場來說，地基是什麼？有沒有可能的商機？哪些是業者在推動業務時真正需要的？」這些都是金融科技產業聯盟值得關注的議題。</p> <h3>重點1:聯盟制作為溝通平臺，加大金融業者間合作意願，跨域、跨業合作機會倍增</h3> <p>聯盟制帶來的第一項機會，是透過建立機制，來增加各方合作意願。並且，聯盟會由創新園區負責營運，擔任協調角色，降低過往金融合作計畫發起困難、責任分攤不易的問題。</p> <p>針對聯盟運作機制，胡則華說明，聯盟採會員制，初期會以金融機構為限，且機構需要繳納會費。不過，她也提到，一般金融科技公司可免費以觀察員身分參與金融科技產業聯盟，例如，觀察員可先了解各工作圈計畫，若有興趣參與，再以專案合作機構身分加入聯盟特定專案或相關會議，「這個時候才會需要分攤經費。」她強調。</p> <p>負責營運金融科技產業聯盟的金融科技創新園區則補充說明，專案合作機構雖然不是聯盟會員，但同樣能參與聯盟特定專案及相關會議。也就是說，金融科技產業聯盟的計畫成果不會限制金融業者使用，只要擔任合作機構，任何產業和組織都有機會和金融業者共同發展創新計畫。「所有聯盟會員都可以提出提案構想，經過工作圈討論後，再邀請聯盟會員或其他機構來參與專案。」金融科技創新園區執行總監洪杉源解釋。</p> <p>透過這個運作機制，聯盟內的四大工作圈計畫成果，便有機會發展成跨域、跨產業的落地方案。同時，在創新園區協助溝通、協調的情況下，更加大了產業各方合作意願。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-21%20205014.png" style="width: 600px;" /></p> <blockquote><p>金融科技產業聯盟採會員制，初期會以金融機構為限，且機構需要繳納會費。但聯盟也開放觀察員和專案合作機構角色參與。(圖片來源:金融科技創新園區)</p> </blockquote> <h3>重點2:聯盟制採付費制，建立一套金融業持續合作創新的機制</h3> <p>聯盟制帶來的第二項機會，是透過付費制來建立一套能讓金融業持續合作創新的機制。</p> <p>洪杉源解釋，聯盟制的運作費用來源分為四大類。第一類是會員費用，由聯盟會員支付一年30萬元。第二類是專案參與機構出資，當各專案提出後，聯盟方會先確認是否由聯盟會費支應專案經費，或是由所有參與機構自行分攤。「這跟園區過往聯合實證的運作機制類似。」洪杉源解釋。</p> <p>第三類則是回饋金，當聯盟中的專案計畫商轉落地後，若有向使用者收費的規畫，則聯盟可以設計回饋機制，用來支援聯盟運作費用。最後一項則是補助金，由園區負責進行科技專案的補助申請。</p> <p>在這套機制下，聯盟制從創新成果獲得經費後，就能運用這筆經費，來支持更多的金融創新專案，達到持續支持合作創新的效果。同時，透過聯盟制度，工作圈召集人任期採輪流制，金融機構透過擔任工作圈召集人，能在規模化的情況下實驗創新專案。例如，玉山金控提出建立的金融無塵室，和中信金控計畫打造的金融同業防詐平臺，都是需要眾多金融業者參與，才得以見效的創新實例。這些專案過往較常由財金公司負責建置，如今，金融業界也能透過聯盟制度來施展創新實力。</p> <h3>重點3:工作圈串連，第一階段重點發展金融防詐</h3> <p>去年多家金融機構透過聯合實證，來實驗聯合學習的防詐成效。不過，實證結束後，最大挑戰就是機制該如何落地。而聯盟制提供了一套可能的解方。</p> <p>在四大工作圈中，由中信金控帶領的金融科技應用研發工作圈、玉山金控帶領的數位金融實務規範建議工作圈，和國泰金控帶領的異業生態共創工作圈，三方在第一階段聚焦的領域正是金融防詐。</p> <p>去年中，這三家金融機構就曾透過聯合實證，運用國泰金控自主開發的聯合學習框架「CaFe」，來實驗聯合學習的防詐成效。而在金融科技產業聯盟中，這三家機構再次投入合作研發。</p> <p>中信金控將擔任應用服務研發角色，負責打造全國性的金融同業防詐平臺，建構完整的金流網絡，運用AI科技掃除潛在威脅。玉山金控則專注在跨行多元資料整合，包括建立金融無塵室，處理跨金融機構的資料處裡，透過建立數據去識別處理標準及環境，來完善防詐需要的數據分析安全機制。而國泰金控則負責促進異業合作，在第一階段中，他們將負責在聯合學習框架中，納入跨業行為樣態，強化各行警示模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-21%20205238.png" style="width: 600px;" /></p> <blockquote><p>金融科技產業聯盟工作圈共同發展防詐技術。(圖片來源:中信金控)</p> </blockquote> <p>這套合作機制，未來也將適用於其他主題專案，並由金融科技應用研發工作圈召集人，來負責針對金融業共通效益的特定場景進行主題式科技研發應用。擔任此工作圈的首任召集人中信金控，便提出未來可探索的應用主題，包括針對金融業合作打造臺灣在地金融LLM的可行性進行討論，或是探索如何以創新金融服務輔助中小／微型企業發展。</p> <h3>金融創新市場發展也有望透過業者主導的聯盟制來推動</h3> <p>「希望這個聯盟的成立，真的能夠定期拿出成績，真的改變金融市場。」彭金隆一句話點出對產業聯盟的期待。胡則華也補充說明，若產業聯盟運作順暢，未來金管會也希望延續這種模式，由業者主導更多金融市場相關領域，推動產業共好。「我們希望不僅在金融科技領域，在其他金融市場相關領域，將來也都會由業者主導一個一個團體，一個一個聯盟，大家可以為了金融市場共好，繼續往前推進。」</p> <p>這意味著，金融科技產業聯盟的成立，不僅是金融科技的發展里程碑，更是推動台灣整體金融創新的關鍵時刻。</p> <p></p> </div></div></div>
2025/2/21 20:53作者李昀璇https://www.ithome.com.tw/news/167510
效能提升至4倍，高通以新款AI加速卡建立整合應用設備
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/qualcomm_cloud_ai_100_ultra_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧浪潮帶來的資料中心與邊緣運算加速運算市場商機，不讓Nvidia、Arm、Intel、AMD等廠商專美於前，高通（Qualcomm）發展AI推論加速卡<a href="https://www.ithome.com.tw/review/149712">Cloud AI 100</a>，在2020年9月<a href="https://www.qualcomm.com/news/releases/2020/09/qualcomm-announces-first-shipments-qualcomm-cloud-ai-100-accelerator-and">首批產品出貨</a>，當時供應3種組態：熱設計功耗75瓦、INT8整數運算400 TOPS的半高半長PCIe介面卡，熱設計功耗25瓦、INT8整數運算200 TOPS的雙M.2介面卡，以及熱設計功耗15瓦、INT8整數運算70 TOPS的雙M.2e介面卡，預計10月供應邊緣運算開發套件Qualcomm Cloud AI 100 Edge Development Kit。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-09-Qualcomm%20CLoud%20AI%20Gen1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Qualcom Cloud AI 100-SOC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcom%20Cloud%20AI%20100-SOC.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Qualcom Cloud AI 100-AI Cores.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcom%20Cloud%20AI%20100-AI%20Cores.jpg" style="width: 298px;" /></a></p> <p>之後幾年，MLCommon皆持續公告Qualcomm Cloud AI 100的效能測試結果，而且，是專攻AI推論處理效能呈現的MLPerf Inference（MLPerf Inference Edge與MLPerf Inference Datacenter的1.0版、1.1版、2.0版、2.1版、3.0版、3.1版、4.0版），這些效能測試結果不只來自高通，也包括多家系統廠商。</p> <p>以MLPerf Inference Datacenter為例，像是伺服器廠商技嘉（R282-Z93、G292-Z43）、Dell（PowerEdge R7515）、HPE（ProLiant DL385 Gen10 Plus v2）、聯想（ThinkSystem SR670 V2），以及率先採用這款AI加速卡、提供執行個體服務的公有雲業者AWS（<a href="https://www.ithome.com.tw/review/162147">Amazon EC2 DL2q</a>），都提交搭配Qualcomm Cloud AI 100的效能測試結果。</p> <p>值得注意的是，從2022年4月發表的MLPerf Inference 2.0開始，我們看到廠商送測的Qualcomm Cloud AI 100效能測試結果當中，出現搭配Pro款式的系統，之後出現搭配Standard款式的系統；而在2023年4月公布的MLPerf Inference 4.0，Qualcomm Cloud AI 100的效能測試結果，首度出現搭配Ultra款式的系統（聯想ThinkSystem SR670 V2）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPerf Inference Datacenter v4_0- QAIC-A100.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Inference%20Datacenter%20v4_0-%20QAIC-A100.png" style="width: 600px;" /></a></p> <p>半年後，<a href="https://www.qualcomm.com/news/onq/2023/11/introducing-qualcomm-cloud-ai-100-ultra">高通正式推出Qualcomm Cloud AI 100 Ultra</a>，標榜這款產品採用該公司設計的AI核心，相較於上一代產品（應指雙M.2版本的Cloud AI 100），可提供4倍的效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcom%20Cloud%20AI%20100-Spec.jpg" style="width: 500px;" /></p> <p>而且，企業與組織可透過熱設計功耗150瓦、內建64顆AI核心的單張Qualcomm Cloud AI 100 Ultra配置，支援1千億個參數的AI模型處理，也能以兩張這樣的高性能加速卡，支援1,750億個參數的AI模型處理；或是透過更多張加速卡的設置，搭配高通建構的AI軟體技術堆疊<a href="https://www.qualcomm.com/developer/artificial-intelligence">Qualcomm AI Stack</a>，以及AI軟體開發套件<a href="https://github.com/quic/cloud-ai-sdk">Qualcomm Cloud AI SDK</a>，支援更大規模的AI模型處理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-01-Qualcomm%20AI%20On-Prem%20Appliance%20Solution-AI%20Stack.jpg" style="width: 600px;" /></p> <p>關於伺服器廠商的採用上，HPE率先宣布將支援Qualcomm Cloud AI 100 Ultra，可用於ProLiant Gen11世代伺服器，以單臺2U尺寸伺服器而言，<a href="https://community.hpe.com/t5/servers-systems-the-right/qualcomm-unveils-ai-inference-for-large-language-models/ba-p/7200676">最多能搭載8張Qualcomm Cloud AI 100 Ultra</a>，以AI加速器最佳化技術，因應自然語言處理（NLP）等生成式AI工作負載，預計2024年上半提供HPE整合的這類產品，並且公布售價（編按：<a href="https://buy.hpe.com/tw/en/options/server-accelerators/computational-graphics-accelerators-for-servers/computational-graphics-accelerators-with-hpe/qualcomm-cloud-ai-100-accelerator-for-hpe/p/1014668105">根據HPE網站公布資訊</a>，目前主推的Qualcomm Cloud AI 100應該仍是第一代產品）。</p> <p>另一個Qualcomm Cloud AI 100 Ultra的特色，在於具有出色的性價比。高通表示，比起其他廠商的產品，Qualcomm Cloud AI 100 Ultra用於大型語言模型、自然語言處理，以及電腦視覺類型的工作負載，就單位總體成本而言，可提供2至5倍的效能，帶來更大的投資報酬率。</p> <p>到了2025年1月的全球年度消費電子展，Qualcomm Cloud AI又向市場展現新的應用形式！高通宣布推出整合應用設備，名為Qualcomm AI On-Prem Appliance Solution，當中搭配硬體加速卡Qualcomm Cloud AI，以及橫跨邊緣至雲端環境使用的AI推論軟體與服務套餐Qualcomm AI Inference Suite。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-01-Qualcomm AI On-Prem Appliance Solution-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-01-Qualcomm%20AI%20On-Prem%20Appliance%20Solution-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-01-Qualcomm AI On-Prem Appliance Solution-SPEC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-01-Qualcomm%20AI%20On-Prem%20Appliance%20Solution-SPEC.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025-01-Qualcomm AI On-Prem Appliance Solution-AI Suites.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-01-Qualcomm%20AI%20On-Prem%20Appliance%20Solution-AI%20Suites.jpg" style="width: 298px;" /></a></p> <p>就整臺應用設備而言，目前有兩家廠商提供這類解決方案，一家是聯想，以<a href="https://news.lenovo.com/pressroom/press-releases/artificial-intelligence-at-the-edge-to-drive-business-transformation/">2021年底推出的伺服器SE450</a>，以及<a href="https://lenovopress.lenovo.com/lp1780-whats-new-july-2023">2023年7月推出的SE360 V2</a>，作為硬體設備平臺，另一家是宜鼎集團子公司安提國際（Aetina），以2024年上半發表的MegaEdge PCIe系列的<a href="https://www.aetina.com/about-news-detail.php?i=907">AIP-FR68</a>、<a href="https://www.aetina.com/about-news-detail.php?i=933">AIP-KQ67</a>，作為硬體設備平臺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-01-Qualcomm%20AI%20On-Prem%20Appliance%20Solution-HW.jpg" style="width: 600px;" /></p> <p>若只看硬體加速卡，高通也首度列出Qualcomm Cloud AI 100現行3種款式的規格資訊比較。以目前而言，我們只能從該公司的網站看到Cloud AI Ultra產品簡介，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-01-Qualcomm AI On-Prem Appliance Solution-Accelerators.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-01-Qualcomm%20AI%20On-Prem%20Appliance%20Solution-Accelerators.jpg" style="width: 600px;" /></a></p> <p>不過，也可以找到一份文件提及Cloud AI Pro、Cloud AI Standard，以及第一代三種款式比較的規格。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcomm%20Cloud%20AI%20100-Five%20Models.jpg" style="width: 600px;" /></p> <p>透過Qualcomm AI On-Prem Appliance Solution這樣的產品組合，高通認為，可協助中小企業、大型企業或不同產業、組織，在他們維運與管理的內部環境，建置自行設計或套裝的AI應用系統，藉此大大節省營運成本與總體支出，而不需向第三方業者承租AI基礎架構。</p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Qualcomm Cloud AI 100 Ultra</span></strong><br /> ●原廠：Qualcomm<br /> ●建議售價：廠商未提供<br /> ●I/O介面：PCIe 4.0 x16<br /> ●外形：全高3/4長PCIe介面卡<br /> ●運算核心：4顆系統單晶片（64顆AI核心）<br /> ●AI核心之間頻寬：186 GB/s<br /> ●晶片製程：7奈米<br /> ●搭配記憶體：裸晶內建SRAM記憶體576 MB（每顆AI核心搭配9 MB），介面卡內建DRAM記憶體128 GB LPR4x，頻寬為548 GB/s<br /> ●SRAM記憶體容量：576 MB<br /> ●可處理資料型別：INT8、FP16、FP32、BF16<br /> ●運算效能：INT8為870 TOPS，FP16為288 TFLOPS<br /> ●耗電量：150瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/2/21 18:37作者李宗翰https://www.ithome.com.tw/review/167450
臺北榮總聯手陽明交大揭動作捕捉新技術，不穿戴感測器也能精準記錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北榮總日前（2/19）與陽明交大聯手揭露一項新AI技術，無需穿戴任何感測器、只靠幾臺高解析度相機，就能清楚捕捉人體動作和步態數據，大幅降低動作分析門檻。這套系統名為無標記動作捕捉系統（Markerless Motion Capture System），由陽明交大團隊開發、臺北榮總團隊聯合研究驗證，發現加上腦部和肌肉訊號記錄，可更理解人體行走時的各腦部區域神經訊號變化，不只益於神經退化性疾病的診斷和治療，未來還可應用於遠距復健、跌倒風險評估和脊椎退化疾病研究等領域。</p> <p><span style="font-size:22px;"><strong>從實驗室到臨床，系統還可用於多種醫療場景</strong></span></p> <p>進一步來說，這套輕量化無標記動作捕捉系統由陽明交通大學腦科技計畫記憶痕跡團隊研發，只需幾臺高解析度相機，就能準確捕捉受試者的三維關節位置，受試者不必穿戴感測器或貼任何標記物，穿著日常服裝就能完成測試，有別於傳統測試的繁瑣。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8C%97%E6%A6%AE%E5%8B%95%E4%BD%9C%E6%8D%95%E6%8D%89.jpg" /></p> <p>接著，北榮神經醫學中心神經外科聯手陽明交大團隊，來研究驗證這項技術的臨床效果。他們發現，這項技術整合腦電圖（EEG）和肌電圖（EMG）等電生理訊號，可以進一步探討步態控制機制。雙方還在2025年工程醫學與生物應用研討會（SEMBA 2025）中，提出「步態周期中的時空大腦皮質與肌肉協同連結」研究成果，拿下第一名。</p> <p>這項研究，是用輕量化無標記動作捕捉系統合併腦部和肌肉訊號記錄，來了解人體行走中的各腦部區域神經訊號變化，以及行走中肌肉訊號的調控。這麼做，可以更精確揭示中樞神經和肌肉在步態控制中的協同作用。有了這個研究基礎，就能幫助神經退化性疾病的診斷與治療。</p> <p>臺北榮總表示，在醫療場域中，這項技術可以用來了解，脊椎退化疾病或脊髓損傷患者的步態與正常人的差異，並在術前、術後提供精確的數據變化，作為治療效果的依據。</p> <p>這個技術也能用於遠距雲端復健評估系統，醫師可即時掌握患者復健進展，制定更個人化的復健計畫。此外，該技術還可用來評估跌倒風險和動作能力，特別適合長照和復健領域，醫療團隊還能根據即時數據，來調整治療策略。</p> <p>至於未來應用，臺北榮總認為，無標記動作捕捉系統可結合外骨骼設備，為行動受限的患者提供支援</p> <p></p> </div></div></div>
2025/2/21 18:59作者王若樸https://www.ithome.com.tw/news/167509
【資安日報】2月21日，中國駭客使用勒索軟體Ghost在全球70個國家發動大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期有許多資安業者針對中國駭客的攻擊行動提出警告，並有部分涉及勒索軟體攻擊，其中，美國政府針對一種由中國駭客發起的勒索軟體Ghost攻擊行動提出警告，而引起資安界高度關注。</p> <p>值得留意的是，這款勒索軟體的攻擊範圍相當廣泛，橫跨70個國家，但究竟是否包含臺灣？有待其他資安業者進一步揭露相關細節。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167498"><strong style="font-size: 22px;">美國警告勒索軟體Ghost橫行，駭客攻擊範圍橫跨全球70個國家</strong></a></p> <p>2月19日美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、各州資訊共享及分析中心（MS-ISAC）聯合針對勒索軟體Ghost（也被叫做Cring）的威脅態勢提出警告，指出該勒索軟體的危害範圍橫跨70個國家，包含關鍵基礎設施相關的企業組織等各行各業都有受害的情形，且在1月有相關資安事故傳出。</p> <p>該勒索軟體背後的駭客來自中國，主要的目的是為了得到經濟利益，相關攻擊行動最早可追溯至2021年初。這些駭客專門鎖定面向網際網路的服務，尋找執行舊版軟體或韌體的系統下手，利用已知漏洞入侵伺服器。</p> <p>一旦成功利用漏洞，駭客就會上傳Web Shell，然後部署Cobalt Strike Beacon，竊取處理程序使用的Token，藉此冒充SYSTEM使用者提升權限，最終使用勒索軟體加密檔案。</p> <p><a href="https://www.ithome.com.tw/news/167502"><strong style="font-size: 22px;">勒索軟體NailaoLocker鎖定歐洲地區醫療機構而來，疑為中國駭客用來掩蓋竊取資料的意圖</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/csm_Figure_5_7cb3f92cf1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/csm_Figure_5_7cb3f92cf1.png" style="width: 300px; float: right;" /></a></p> <p>為了掩蓋真正的攻擊目的，發動勒索軟體攻擊並有模有樣地索討贖金，很有可能因此讓受害組織忽略駭客另有意圖。最近有一起勒索軟體攻擊行動，就是典型的例子。</p> <p>資安業者Orange Cyberdefense揭露於去年6月至10月發生的攻擊事故Green Nailao，駭客主要針對歐洲的醫療體系而來，作案過程中運用了中國駭客常見的惡意程式ShadowPad、PlugX，而引起研究人員的注意，值得留意的是，他們入侵受害組織的主要管道，就是這波攻擊出現之前不久，Check Point去年5月修補的VPN設備資訊洩露漏洞CVE-2024-24919（CVSS風險評分為8.6）。</p> <p>研究人員認為，駭客真正的目的可能是竊取資料，利用勒索軟體NailaoLocker加密檔案並索討贖金是為了分散注意力，而且，勒索軟體還能掩護用來執行網路間諜活動的後門程式。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/cybercriminals-use-eclipse-jarsigner-to.html">JAR檔案簽章工具遭到濫用，攻擊者藉此於受害電腦啟動惡意軟體XLoader</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/snake-keylogger-variant-windows-data-telegram-bots/">惡意軟體Snake Keylogger出現變種，透過Telegram機器人傳送竊得資料</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167504"><strong style="font-size: 22px;">全錄印表機漏洞恐讓攻擊者能截取AD帳密資料，於受害組織網路環境持續活動</strong></a></p> <p>今年1月底全錄（Xerox）修補Versalink系列多功能印表機（MFP）的資安漏洞CVE-2024-12510、CVE-2024-12511，通報這些漏洞的資安業者Rapid7最近公布細節，攻擊者可經由這兩個弱點進行回傳攻擊（Pass-Back Attack），從而取得印表機的LDAP、SMB、FTP組態，隨後就能在受害組織的內部網路環境進行橫向移動，並且破壞其他Windows伺服器或是檔案系統。</p> <p>針對這兩項資安漏洞，Rapid7物聯網首席資安研究員Deral Heiland指出，CVE-2024-12510能用於收集LDAP資訊的弱點，而CVE-2024-12511則能被用來收集SMB及FTP連線的組態資訊。</p> <p><a href="https://www.ithome.com.tw/news/167494"><strong style="font-size: 22px;">研究人員揭露LibreOffice近期修補的資安漏洞細節，指出攻擊者利用的過程無需使用者互動</strong></a></p> <p>為了節省成本，有些企業會採用開放原始碼的辦公室生產力軟體，若有資安漏洞，勢必影響前端使用者，甚至伺服器存取文件的安全性。1月7日文件基金會（The Document Foundation）發布資安公告，指出他們在去年底發布的24.8.4版開源辦公室套件LibreOffice當中，修補兩項資安弱點CVE-2024-12426、CVE-2024-12425，最近通報這些漏洞的資安業者公布相關細節，指出一旦遭到利用，攻擊者就有機會在幾乎無須使用者互動的情況下進行攻擊。</p> <p>通報漏洞的資安業者Codean Labs指出，這些漏洞都與LibreOffice載入文件檔案的過程有關，過程中無須使用者互動，無論是使用者開啟攻擊者提供的惡意檔案，或是伺服器以無頭模式（headless）執行LibreOffice轉換檔案，都會觸發上述弱點。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.theregister.com/2025/02/20/mongoose_flaws_mongodb/">MongoDB的程式庫Mongoose存在重大漏洞，攻擊者有機會竊取資料庫內容、執行任意程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-fixes-power-pages-zero-day-bug-exploited-in-attacks/">微軟修補低程式碼網站建置平臺Power Pages零時差漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-24032-cve-2025-24531-and-more-critical-flaws-in-pam-pkcs11-expose-linux-authentication-to-attackers/">登入模組PAM-PKCS#11存在重大漏洞，攻擊者恐繞過Linux主機身分驗證機制、提升權限</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167487"><strong>【2月20日】Palo Alto Networks防火牆已知漏洞被用於攻擊網頁管理介面</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167455"><strong>【2月19日】新型態名稱混淆攻擊手法鎖定雲端環境的虛擬機器映像檔而來，數千個AWS帳號受害</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167446"><strong>【2月18日】Ivanti旗下SSL VPN系統零時差漏洞在日本傳出攻擊行動</strong></a></p> </div></div></div>
2025/2/21 16:47作者周峻佑https://www.ithome.com.tw/news/167506
GovTech月報第38期：數發部擬推動建立主權AI訓練語料資料庫；TAIDE釋出Llama 3.1版8B模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0121~0220)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">資料治理</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>強化我國主權AI發展，數發部：今年將建立AI訓練語料資料庫</strong></span></p> <p>為保護本國語言、文化、本地價值，各國競相發展主權AI，臺灣也不落人後，日前數發部揭露最新資料治理作法，包括為活化資料運用，將研擬促進資料創新利用發展條例草案，並且今年將建立主權AI訓練語料資料庫。</p> <p>數發部指出，去年底數發部參考國際趨勢，研擬促進資料創新利用發展條例草案，目的為促進機關與產業資料共享，以建立資料的利他環境，今年第1季預計先跟利害關係人、各部會、地方政府與專家學者溝通，再進行草案預告。草案涵蓋資料基礎工程，為發展AI提供高品質、可信賴的資料供民間運用，提出資料創新措施，促進資料開放運用。</p> <p>另外，今年將建立的臺灣主權AI訓練語料資料庫，經盤點，有1千多筆文化部國家記憶、客委會客語資料、原民會原民資料，未來希望開放外界運用，去年底已邀請語料建置機關討論，優化語料申請、收費與授權方式，以因應TAIDE的語料訓練需求，並且提供外界運用。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">主權</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>TAIDE釋出基於Llama 3.1的TAIDE 8B模型</strong></span></p> <p>由國科會主導推動的可信任人工智慧對話引擎TAIDE，標榜臺灣在地語言、文化價值，自去年5月更新後，已有一段時間未發布更新，終於在近期釋出基於Llama 3.1的TAIDE 8B模型，並強調TAIDE的應用發展，例如在地語言學習、醫療等等。</p> <p>新的TAIDE模型以Meta釋出的Llama 3.1 8B為基礎，參數規模為8.5B，採用Nvidia H100運算，訓練時間共2896個小時，最大內容長度可到131K，以45B的繁中訓練資料Token訓練，正體中文解碼速度提升20%，並具備臺灣國情、在地文化及用語等知識，具備多輪對話問答能力，並且提升長文處理能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-4.JPG" style="width: 600px; height: 473px;" /></p> <p>根據網頁上的說明，新釋出的模型採正體中文資料預訓練（continuous pretraining），並以指令微調（instruction tuning）強化摘要、寫信、寫文章、中翻英、英翻中等辦公室常用工作、多輪問答對話能力，適合於對話或任務協助的使用情境。 </p> <p>該網頁也公布摘要、寫信、寫文章、中翻英、英翻中5項工作中，TAIDE 8B和基於Llama 3的TAIDE 8B-Apha1以及Llama 3.1 8B的評測結果，顯示TAIDE 8B在5項工作的評分都要比Llama 3.1 8B來得高，但是和TAIDE 8B-Apha1在5項工作中評分互有優劣。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">算力</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>提升我國AI算力，國科會估2029年我國公共算力可達480PF</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96.jpg" style="width: 600px; height: 327px;" /></p> <p>為發展AI，各國積極提升AI算力，國科會近期指出，政府加速建置超級電腦，公共AI算力在2029年可望達到480PF，如加上民間建置的算力，公私部門合計算力可望超過1,200PF，大幅提升我國算力基礎建設。</p> <p>為推動國內AI發展，包括穩固AI主權、深化AI自主發展，國科會報告正著手推動三大策略，建置大型算力、建置大型雲端資料中心、發展本土特色的繁體中文大型語言模型。其中在算力方面，國網中心正分期建置新的超級電腦，以提升國內的AI算力資源，去年底已完成算力達16PF的超級電腦，預期在今年5月開放使用，今年底將再增加100PF，未來5年總算力可望達到480PF。</p> <p>資料中心方面，國網中心也規畫建置大型雲端資料中心，作為AI算力機房及國家關鍵資料基地，可達60PB的儲存量，今年先完成南科的雲端資料中心，2029年再完成沙崙的AI運算資料中心。國網中心計畫針對開發者痛點，今年推出生成式AI技術應用的一站式AI開發雲端服務平臺。</p> <p>至於繁中模型方面，發展具有本土特色的繁體中文大型語言模型TAIDE，持續精進模型，並且加速多元應用模型落地。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">超級電腦</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>韓國今年將建置國家級AI運算中心，打造韓版ChatGPT服務</strong></span></p> <p>韓國宣布AI國家戰略，原本將在2030年完成的國家級AI運算中心，將提前在2025年完成並啟用，未來透過AI運算基礎設施，宣示打造韓國版的ChatGPT，加速政府與民間合作，目標為讓韓國成為全球AI的3大強國。</p> <p>韓國代理總統崔相穆，同時也是韓國「AI運算基礎設施特別委員會」委員長，日前召開會議，崔相穆表示，全球各國競相投入巨資建置AI基礎建設，韓國也不落人後，計畫打造韓國版ChatGPT，投入資金及資源，讓韓國成為全球AI的3大強國。</p> <p>會議檢討韓國的國家AI運算中心計畫，從原定的2030年完成，提前到2025年完成啟用，韓國政府希望透過公部門與私部門合作的方式，先採購1萬個GPU，包括Nvidia的H100及H200，早期先建立AI運算中心服務，並在2026年上半年再建置8千個GPU的超級電腦，以支援研究機構使用。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">犯罪</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>控制毒品氾濫，美、墨聯手以無人機揪出販毒集團走私及毒品實驗室</strong></span></p> <p>墨西哥總統Claudia Sheinbaum近期實證在墨西哥領土上空偵察的無人機，為美國應墨西哥政府要求，利用無人機在空中監察，找出墨西哥境內毒品集團的實驗室。</p> <p>美國總統川普上任後，對墨西哥的毒品集團採取更嚴格的政策，除了可能將特定的販毒集團視為外國恐怖組織，為日後兩國合作打擊毒品製造、販售的毒品集團祭出更嚴厲犯罪打擊措施；近期媒體報導，在墨西哥境內無人機，為美國中央情報局所有，其目的在偵測墨國境內毒品芬太妮實驗室及走私活動，但是中情局一直不願多作說明，Claudia近期則證實這是美國與墨西哥政府兩國合作的成果。</p> <p>這項無人機打擊犯罪計畫，目的在找出墨國境內西北部地區的芬太妮實驗室，現在中情局監控墨國販毒集團的無人機也是MQ-9，該款無人機先前也被用於打擊國外的恐怖組織。在此之前，美國海關及邊境保護局也使用MQ-9死神無人機加強美、墨兩國邊境的監控。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位皮夾</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><strong><span style="font-size:22px;">英國擬推出數位皮夾，讓民眾在手機端儲存政府核發文件及身分證件</span></strong></p> <p>英國政府近期宣布，準備在今年推出GOV.UK皮夾，以儲存管理政府所核發虛擬文件及身分證件，首波將先以退伍軍人證件、數位駕照，讓民眾可透過手機內的數位皮夾使用。</p> <p>這項政策並非強制，而是在傳統文件、身分證件之外新的選項，今年稍晚英國政府計畫先推出退伍軍人文件、數位駕照，在2027年底讓所有政府服務都能提供數位證明。英國政府表示，民眾使用GOV.UK皮夾，當購買酒類飲料或特殊的物品時，可提出數位證明驗證符合身分資格，特別是讓民眾管理自己的身分資料，並且更容易和公共服務互動。</p> <p>英國政府進一步表示，GOV.UK皮夾的使用安全性將支援臉部辨識或手機內建的身分安全驗證功能，並支援GOV.UK One login的單一身分登入機制。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位轉型</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>馬來西亞政府與Google聯手，擴大開放44萬名公務員用GAI工具</strong></span></p> <p>馬來西亞政府大力擁抱AI，該國近期宣布和Google合作，開放超過44萬名公務人員全面使用AI工具Gemini，撰寫文件、會議紀錄摘要、製作影片、民眾服務等等，提高公務運作效率。</p> <p>馬國政府024年12月試辦AI at Work，將AI工具運用於公務運作，經過試辦後，9成7的參與者反應每週每人約節省 3.25個小時，約9成表示生成式人工智慧有助於提高工作品質。近期馬國數位部再與Google宣布啟動AI at Work 2.0，擴大馬來西亞政府超過44.5萬名公務人員使用Google Workspace及Gemini，以提高公務員的生產力及效率，相對地，Google先前承諾投資20億美元，於馬來西亞建置資料中心、雲端區域，並且提供AI技能培育工作。</p> <p>在公務使用中，利用生成式AI撰寫文件內容，例如起草政策文件或書面回應，產生會議紀錄摘要，或是根據多種資料源，讓AI提出分析見解，以及促進更有公務員與民眾的互動溝通。</p> <p> </p> <p>圖片來源／數發部、國科會、TAIDE</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.傳馬斯克力促以區塊鏈提高美國聯邦政府效率</strong></p> <p><strong>2.韓國禁止政府部門使用DeepSeek</strong></p> <p>資料來源：iThome整理，2025年2月</p> </div></div></div>
2025/2/21 17:22作者蘇文彬https://www.ithome.com.tw/news/167489
全錄印表機漏洞恐讓攻擊者能截取AD帳密資料，於受害組織網路環境持續活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月底全錄（Xerox）<a href="https://www.support.xerox.com/en-us/product/versalink-c7020-c7025-c7030/content/169633">修補</a>Versalink系列多功能印表機（MFP）的資安漏洞CVE-2024-12510、CVE-2024-12511，通報這些漏洞的資安業者Rapid7<a href="https://www.rapid7.com/blog/post/2025/02/14/xerox-versalink-c7025-multifunction-printer-pass-back-attack-vulnerabilities-fixed/">最近公布細節</a>，攻擊者可經由這兩個弱點進行<a href="https://github.com/percx/Historical-Research-Archive/blob/main/pass-back-attack.pdf">回傳攻擊（Pass-Back Attack）</a>，從而取得印表機的LDAP、SMB、FTP組態，隨後就能在受害組織的內部網路環境進行橫向移動，並且破壞其他Windows伺服器或是檔案系統。</p> <p>什麼是回傳攻擊？這是一種針對多功能印表機而來的手法，攻擊者通常會藉由漏洞竄改印表機組態，從而讓印表機向攻擊者指定的伺服器進行驗證，使得攻擊者能截取相關的驗證資料，特別是LDAP及SMB的帳密。</p> <p>針對這兩項資安漏洞，Rapid7物聯網首席資安研究員Deral Heiland指出，CVE-2024-12510能用於收集LDAP資訊的弱點，而CVE-2024-12511則能被用來收集SMB及FTP連線的組態資訊。</p> <p>一旦攻擊者觸發了CVE-2024-12510，就能竄改LDAP服務的IP位址，並觸發LDAP使用者與系統帳號對應（LDAP User Mapping）的搜尋，接著可監聽特定連接埠而得知印表機使用的LDAP身分帳密，CVSS風險為6.7分。不過，利用這項漏洞必須搭配特定條件，那就是攻擊者要能夠存取印表機的管理員帳號，而且印表機也要與正常運作的LDAP伺服器連線。</p> <p>另一個漏洞CVE-2024-12511，則是讓攻擊者有機會存取者的通訊錄，從而竄改SMB及FTP伺服器的IP位址，然後監聽流量得知帳密資料，但特別的是，攻擊者還能攔截NetNTLMV2交握的內容，或是對AD檔案伺服器進行SMB中繼攻擊，CVSS風險為7.6。</p> </div></div></div>
2025/2/21 16:39作者周峻佑https://www.ithome.com.tw/news/167504
微軟發表Magma多模態AI代理基礎模型，單一模型就具UI與機器人操作能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟研究院發表<a href="https://microsoft.github.io/Magma/">Magma</a>，這是一款針對多模態人工智慧代理設計的基礎模型。Magma具備視覺與語言理解能力，能夠直接執行UI操作與機器人控制，突破了傳統視覺語言模型僅限於靜態理解的限制。微軟強調，Magma單一模型即可處理數位與物理環境中的互動任務，且不需特定領域微調，就展現出優於現有專用模型的性能。</p> <p>Magma的核心技術是Set-of-Mark（SoM），透過標記可操作物件，如UI按鈕或機器手臂，讓人工智慧能夠準確理解影像中的互動元素，進而做出適當動作，像是Magma能夠在UI操作中辨識可點擊的按鈕，並執行指令來完成複雜的操作流程。在機器人領域，SoM讓人工智慧能夠判斷環境中的物體位置與特性，控制機械手臂穩定執行物品抓取、移動等任務。</p> <p>此外，Magma也運用Trace-of-Mark（ToM）技術，該技術重點在於學習時序動作，藉由標記影像中的移動軌跡，讓人工智慧理解物件在時間軸上的變化。ToM讓Magma能夠預測未來動作，例如判斷機器手臂在操作過程中的最佳移動路徑，或分析影片中人物的行為模式，更精確地規畫下一步動作。相比傳統逐幀預測方法，ToM使用更少的Token，但能捕捉更長時間範圍的變化，提升人工智慧在動態場景中的決策能力，並降低環境雜訊的影響。</p> <p>在多項基準測試中，Magma表現優於現有模型。在UI操作領域，在Mind2Web和AITW測試中達成高準確率，證明其能夠操作複雜的網頁與行動裝置UI。在機器人操控方面，Magma在WidowX和LIBERO測試超越現有的機器人視覺語言模型OpenVLA，成功執行軟體操控與拾取放置任務，並在已知與未知情境下展現良好的泛化能力。</p> <p>Magma的強項在於零樣本與少樣本學習能力，能夠直接應用於未見過的環境，而不需要額外微調。測試顯示，Magma在UI操作與機器人任務中，都能夠在零樣本情境下執行完整任務。除了UI操作與機器人應用，Magma在視覺問答、時序推理等任務上也表現出色。在空間推理測試中，其表現超越GPT-4o，微軟提到，空間推理評估對於GPT-4o來說仍然是具有挑戰性的問題，但Magma儘管預訓練資料少得多，卻能更好地回答這類問題。</p> </div></div></div>
2025/2/21 17:01作者李建興https://www.ithome.com.tw/news/167507
勒索軟體NailaoLocker鎖定歐洲地區醫療機構而來，疑為中國駭客用來掩蓋竊取資料的意圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了掩蓋真正的攻擊目的，發動勒索軟體攻擊並有模有樣地索討贖金，很有可能因此讓受害組織忽略駭客另有意圖。最近有一起勒索軟體攻擊行動，就是典型的例子。</p> <p>資安業者Orange Cyberdefense揭露於<a href="https://www.orangecyberdefense.com/global/blog/cert-news/meet-nailaolocker-a-ransomware-distributed-in-europe-by-shadowpad-and-plugx-backdoors">去年6月至10月發生的攻擊事故Green Nailao</a>，駭客主要針對歐洲的醫療體系而來，作案過程中運用了中國駭客常見的惡意程式ShadowPad、PlugX，而引起研究人員的注意，值得留意的是，他們入侵受害組織的主要管道，就是這波攻擊出現之前不久，<a href="https://www.ithome.com.tw/news/163197">Check Point去年5月修補的VPN設備資訊洩露漏洞CVE-2024-24919（CVSS風險評分為8.6）</a>。</p> <p>針對駭客利用上述已知漏洞的情況，我們也向資安業者Check Point進一步詢問，該公司表示他們已修復這項弱點，建議用戶可透過5月27日發布的<a href="https://support.checkpoint.com/results/sk/sk182336">部落格文章</a>了解相關資訊。</p> <p>針對攻擊事故的發生過程，Orange Cyberdefense資安研究員Marine Pichon、Alexis Bonnefoi表示，在他們看到的4次攻擊當中，駭客都是利用CVE-2024-24919入侵受害組織的VPN設備。特別的是，由於這項弱點還能讓攻擊者挖掘本機使用者帳號密碼的雜湊值，因此研究人員認為，這些駭客也藉此漏洞得到使用者的帳密，並用來進行VPN連線。</p> <p>在成功建立初始入侵管道之後，駭客利用遠端桌面連線（RDP）進行偵察及橫向移動，並取得額外的權限。過程中他們手動執行公用程式logger.exe側載惡意DLL檔案，然後複製經加密處理的有效酬載到系統的登錄檔。</p> <p>接著駭客將有效酬載刪除，並由DLL檔案從機碼搜尋並注入另一個處理程序，而這個有效酬載就是惡意昭彰的後門程式ShadowPad。</p> <p>Orange Cyberdefense也在8月發生的攻擊行動裡，看到駭客用相當類似的手法散布另一支惡意程式PlugX，這次是濫用McAfee防毒軟體執行檔載入DLL檔案，並透過特定的API提升權限。</p> <p>值得一提的是，ShadowPad建立C2通訊機制，是在受害組織的資訊系統設置獨立於VPN的存取管道，而且駭客還會在受害組織多臺電腦植入此後門程式。</p> <p>最終駭客會將竊得資料打包成ZIP檔案並嘗試傳送到外部。在其中一起事故裡，駭客竊得了AD的帳密資料庫檔案ntds.dit，但在部分事故當中，研究人員只能取得有限的防火牆事件記錄，難以確認有那些資料被外流。</p> <p>而對於駭客使用的勒索軟體NailaoLocker，一旦執行就會先檢查受害電腦是否載入系統元件sensapi.dll，並試圖從記憶體及磁碟清理，然後使用AES-256-CTR演算法對檔案進行非對程加密，最終留下勒索訊息，要求受害者透過電子郵件向他們購買解密金鑰。</p> <p>罕見的是，這款勒索軟體不會掃描網路共享資料夾，也不會終止可能影響加密流程的處理程序或是服務，甚至對於會被他人除錯的情況也沒有進行控管。這樣的情況，研究人員提及受害電腦的檔案很有可能不會被完全加密。</p> <p>而對於攻擊者的身分，Orange Cyberdefense指出駭客的戰術、手段、流程（TTP）與<a href="https://www.ithome.com.tw/news/163333">Sophos兩年前揭露的Crimson Palace攻擊行動</a>有少部分交集，且手法很難不讓人想到<a href="https://www.ithome.com.tw/news/167385">賽門鐵克最近公布的RA World攻擊事故</a>，但Orange Cyberdefense指出兩起事故沒有直接關聯。</p> <p>研究人員認為，駭客真正的目的可能是竊取資料，利用勒索軟體加密檔案並索討贖金是為了分散注意力，而且，勒索軟體還能掩護用來執行網路間諜活動的後門程式。</p> </div></div></div>
2025/2/21 15:46作者周峻佑https://www.ithome.com.tw/news/167502
企業用戶等嘸火大，Google終於將Deep Research推向Workspace用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在眾多企業用戶抱怨一個多月後，Google本周<a href="https://workspaceupdates.googleblog.com/2025/02/deep-research-available-for-google-workspace-in-gemini-advanced.html" target="_blank">宣布</a>將Deep Research功能部署到Workspace用戶，包括Business、Enterprise及Education方案。</p> <p>Google去年12月中<a href="https://www.ithome.com.tw/news/166493" target="_blank">宣布</a>為Gemini加入Deep Research的上網研究功能。Deep Research類似人類的研究過程，先上網搜尋、分析、學習，多次反覆搜尋，最後生成一份報告。使用者接受的報告成果可直接匯出到Google Docs。</p> <p>Google說，從2月20日起將逐步把Deep Research部署到企業用戶，包括Business Standard及Plus、Enterprise Standard and Plus、擁有Gemini Education/Gemini Education Premium add-on，及購買Gemini Business及Gemini Enterprise add-on。12月中問世時，Deep Research只提供給訂閱月費20美元或臺幣650元的Gemini Advanced的消費者。</p> <p>對Workspace用戶而言，Deep Research一開始只有Web版，且只支援英文，Google說之後會將這功能推向Gemini手機App。現有Gemini Advanced企業用戶可以選擇使用以下模型：2.0 Flash、2.0 Flash Thinking Experimental、2.0 Pro Experimental、1.5 Pro with Deep Research。</p> <p>然而對Workspace Business方案用戶來說，這項宣布來得太晚。去年起不少購買Workspace Business方案的企業<a href="https://support.google.com/a/thread/313277072/why-is-deep-research-only-not-available-to-workspace-business-standard-users?hl=en" target="_blank">抱怨</a>，Deep Research已提供給了購買Gemini Advanced的消費者Gmail帳號及Workspace Enterprise帳號，獨漏Workspace Business Standard版。另有人是買了Workspace Business Standard再額外購買Gemini Advance Plus，但聲稱得到的功能卻比消費者帳號還少。有人為了Deep Research才升級到Workspace Business Standard方案，卻發現沒有這項功能。Business Standard用戶不平，直到1月底都不見Google出面給個說法。</p> <p>不過手機版可能不用等太久了。雖然Google說手機版Gemini還不能用Deep Research，但Google上周另一則公告<a href="https://blog.google/feed/deep-research-gemini-mobile/" target="_blank">說明</a>，所有Gemini Advanced用戶已經可在Android及iOS手機版Gemini使用Deep Research。</p> </div></div></div>
2025/2/21 13:32作者林妍溱https://www.ithome.com.tw/news/167500
美國警告勒索軟體Ghost橫行，駭客攻擊範圍橫跨全球70個國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月19日美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、各州資訊共享及分析中心（MS-ISAC）聯合<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-050a">針對勒索軟體Ghost（也被叫做Cring）的威脅態勢提出警告</a>，指出該勒索軟體的危害範圍橫跨70個國家，包含關鍵基礎設施相關的企業組織等各行各業都有受害的情形，且在1月有相關資安事故傳出。（編按：此份公告未列出受影響國家名單，所以無法確定臺灣是否受害）</p> <p>該勒索軟體背後的駭客來自中國，主要的目的是為了得到經濟利益，相關攻擊行動最早可追溯至2021年初。這些駭客專門鎖定在網際網路運作的各種線上服務，尋找執行舊版軟體或韌體的系統下手，利用已知漏洞入侵伺服器。</p> <p>這些漏洞包括：Adobe ColdFusion的外部實體（XXE）注入漏洞CVE-2009-3960、資料夾穿越漏洞CVE-2010-2861（CVSS風險評分為6.5、9.8），Fortinet防火牆作業系統FortiOS路徑穿越漏洞CVE-2018-13379（風險值9.8），微軟SharePoint遠端程式碼執行漏洞CVE-2019-0604（風險值9.8），以及Exchange安全功能繞過漏洞CVE-2021-31207、遠端程式碼執行漏洞CVE-2021-34473、權限提升漏洞CVE-2021-34523（風險評為6.6至9.8，統稱為ProxyShell）。</p> <p>一旦成功利用漏洞，駭客就會上傳Web Shell，然後部署Cobalt Strike Beacon，竊取處理程序使用的Token，藉此冒充SYSTEM使用者提升權限。</p> <p>除此之外，這些駭客也會利用可公開取得的工具嘗試提升權限，這些工具包括：SharpZeroLogon、SharpGPPPass、BadPotato，以及GodPotato。</p> <p>為了迴避偵測，攻擊者也利用Cobalt Strike確認受害主機部署的防毒軟體，然後將其停用。</p> <p>在偵察的活動裡，他們也同樣運用能公開取得的工具。駭客先是下達Cobalt Strike命令調查網域使用者的帳號，並透過名為SharpShares、Ladon 911、SharpNBTScan的工具，找出網路共用資料夾和其他遠端系統。</p> <p>Ghost也藉由公用程式WMIC執行PowerShell命令，從而在受害組織的網路環境橫向移動，最終將電腦的檔案加密。</p> <p>在加密檔案之前，這些駭客通常會利用雲端檔案共享服務Mega及Web Shell將資料外流，而且多半只針對智慧財產或是個人識別資訊（PII）等有價值的資料下手，但FBI也有看到利用Cobalt Strike Team Server下載資料的情況。但關於外洩規模的敘述，CISA只提及資料量是有限的，以及典型的資料外洩規模低於數百GB。</p> </div></div></div>
2025/2/21 11:42作者周峻佑https://www.ithome.com.tw/news/167498
Amazon將終止支援第三方Android裝置的Appstore、通訊協同服務Chime
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon本周<a href="https://www.amazon.com/gp/mas/appstore/android/faq" target="_blank">通知</a>開發人員及使用者，將在8月20日起關閉自家Android程式市集Amazon Appstore及相關的Amazon代幣，明年2月終止支援通訊協同服務Amazon Chime。</p> <p>Amazon預告，自8月20日起用戶無法在Android裝置上存取Amazon Appstore。該日之後，用戶從Amazon Appstore下載的App不保證能在Android裝置上執行。Amazon並提醒，日本Amazon（amazon.co.jp）的顧客從本周起已無法從其他Android裝置上的Appstore進行程式內購買（in-app purchase，IAP），其他應用程式市集的IAP可持續使用到8月20日。</p> <p>除了透過一般用戶，Amazon也發送訊息<a href="https://x.com/RizbITUK/status/1892543928638861606" target="_blank">通知</a>開發人員。Amazon告知，從2月20日就不再接受開發人員上傳針對一般Android裝置的新App，現有App則可更新到8月20日。</p> <p>不過Amazon Appstore在Fire TV和Fire平板電腦上仍然會持續提供。</p> <p>此外，Amazon代幣（Coin）計畫也於同日起停止。Amazon代幣可當作現金用於Appstore上交易。在這項宣布下，從2月20日起Amazon不再銷售Amazon代幣，到了8月20日用戶就不可以再使用Amazon代幣，屆時消費者未使用的代幣將會獲得退費。</p> <p>Amazon Appstore是類似Google Play Store的Android應用程式市集，但是應用程式規模小得多。截至今年2月，<a href="https://42matters.com/amazon-appstore-statistics-and-trends" target="_blank">Amazon Appstore上</a>僅有約56萬個App。2021年微軟為Windows 11推出Windows Subsystem for Android（WSA），允許用戶自Amazon Appstore下載應用程式在Windows上執行。不過這項合作並不長久；微軟去年<a href="https://www.ithome.com.tw/news/161628" target="_blank">預告</a>將在今年3月終止支援WSA，微軟並未解釋原因。但當時微軟保證既有Android App可延長使用一年，即2026年3月，而非Amazon保證的8月20日。</p> <p>另一方面，Amazon也<a href="https://aws.amazon.com/tw/blogs/messaging-and-targeting/update-on-support-for-amazon-chime/" target="_blank">宣布</a>將在2026年2月終止支援通訊協同服務Amazon Chime。</p> <p><a href="https://docs.aws.amazon.com/chime/latest/ag/amazon-chime-transition-features.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-2026-AWS-end%20support-Amazon%20Chime.png" style="width: 600px;" /></a></p> <p>Amazon Chime類似Microsoft Teams，允許企業用戶和公司內外人士會議、交談及撥打VoIP電話。Amazon說，經過審慎思量，將在2026年2月20日終止支援Amazon Chime，包括企業通話（Business Calling）服務。但從本周（2月19日）起，Amazon已不再接受新客戶。</p> <p>現有用戶可以持續透過Chime的管理介面使用企業通話、排程和召開會議，或是管理使用者，但只到2026年2月20日。目前還可以使用，但作為證明，這些用戶須在2月19日前建立Amazon Chime Team或Enterprise帳號。在2月20日後，沒有帳號的企業就無法使用這些功能。Amazon說，明年2月20日前無法刪除自己資料者應聯絡Amazon支援部門。</p> <p>這項變更不影響Amazon Chime SDK服務。</p> </div></div></div>
2025/2/21 12:24作者林妍溱https://www.ithome.com.tw/news/167499
研究人員揭露LibreOffice近期修補的資安漏洞細節，指出攻擊者利用的過程無需使用者互動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了節省成本，有些企業會採用開放原始碼的辦公室生產力軟體，若有資安漏洞，勢必影響前端使用者，甚至伺服器存取文件的安全性。1月7日文件基金會（The Document Foundation）發布資安公告，指出他們在去年底發布的<a href="https://blog.documentfoundation.org/blog/2024/12/19/libreoffice-24-8-4/">24.8.4版開源辦公室套件LibreOffice</a>當中，修補兩項資安弱點<a href="https://www.libreoffice.org/about-us/security/advisories/cve-2024-12426">CVE-2024-12426</a>、<a href="https://www.libreoffice.org/about-us/security/advisories/cve-2024-12425">CVE-2024-12425</a>，最近通報這些漏洞的資安業者<a href="https://codeanlabs.com/blog/general/exploiting-libreoffice-cve-2024-12425-and-cve-2024-12426/">公布相關細節</a>，指出一旦遭到利用，攻擊者就有機會在幾乎無須使用者互動的情況下進行攻擊。</p> <p>根據文件基金會發布的資安公告，較為危險的是CVE-2024-12426，這項漏洞出現在URL截取功能，能用於滲透任意INI檔案的數值及環境變數，CVSS風險為6.7分；另一個漏洞CVE-2024-12425與路徑穿越有關，可被用於寫入任意TTF檔案，風險評分為2.4。</p> <p>乍看之下，這些漏洞危險程度不高，但通報漏洞的資安業者Codean Labs指出，這些漏洞都與LibreOffice載入文件檔案的過程有關，過程中無須使用者互動，無論是使用者開啟攻擊者提供的惡意檔案，或是伺服器以無頭模式（headless）執行LibreOffice轉換檔案，都會觸發上述弱點。</p> <p>究竟這些漏洞帶來的危害是什麼？Codean Labs資安研究員Thomas Rinsma指出，若是企業組織的伺服器遭到利用攻擊，由於這些弱點能讓攻擊者有機會讀取及寫入伺服器的檔案系統，有可能導致伺服器完全被滲透。</p> <p>而對於一般的使用者來說，攻擊者有機會利用釣魚郵件竊取或重置特定的Token，而能在針對特定目標的情況下用於進一步攻擊。</p> </div></div></div>
2025/2/21 10:17作者周峻佑https://www.ithome.com.tw/news/167494
ChatGPT用戶突破4億；整合o3技術的GPT-5即將推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨日<a href="https://x.com/bradlightcap/status/1892579908179882057" target="_blank">公告</a>，ChatGPT用戶突破4億，並預告GPT-5即將推出。</p> <p>OpenAI營運長Brad Lightcap指出，ChatGPT每周經常用戶（weekly active user，WAU）已正式超過4億，約占全球人口5%，其中有超過200萬用戶是在工作場合使用。此外，自OpenAI o3去年12月<a href="https://www.ithome.com.tw/news/166617" target="_blank">推出</a>以來，模型API用量已成長5倍。</p> <p>這表示ChatGPT在不到3個月內用戶數增加了1億。去年OpenAI才<a href="https://www.theverge.com/2024/12/4/24313097/chatgpt-300-million-weekly-users" target="_blank">公布</a>ChatGPT用戶數於8月底來到2億，在12月初ChatGPT用戶數超過3億。</p> <p>這與OpenAI不斷推出新模型新服務有很大關係。為了維持市場曝光度及用戶成長動能，OpenAI在去年年底一連3個星期公布12項新產品及服務。</p> <p>OpenAI再度預告即將在ChatGPT和API推出旗艦大語言模型GPT-4.5及GPT-5，並會讓免費版ChatGPT用戶標準設定無上限使用GPT-5。</p> <p>上周OpenAI執行長Sam Altman<a href="https://www.ithome.com.tw/news/167339" target="_blank">公告</a>產品策略變動，將整合GPT及o3為單一產品線。未來不會再單獨推出o3服務，GPT-4.5是OpenAI最後一個沒有整合思維鏈的模型。而下一重大更新的GPT-5將整合語音、工作區（canvas）、深度研究等新的能力，它會自行決定何時啟用長時間思考能力，何時不用。</p> </div></div></div>
2025/2/21 09:27作者林妍溱https://www.ithome.com.tw/news/167493
微軟發表全球首款拓撲量子處理器Majorana 1，提升穩定性推進量子運算雲端化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式發表<a href="https://azure.microsoft.com/en-us/blog/quantum/2025/02/19/microsoft-unveils-majorana-1-the-worlds-first-quantum-processor-powered-by-topological-qubits/">Majorana 1量子處理器</a>，這是全球首款採用拓撲量子位元（Topological Qubit）的量子晶片，意味著微軟在量子運算領域邁入實用化階段。這款處理器整合了微軟多年在拓撲超導材料的研究成果，並以拓撲核心架構為基礎，朝向百萬量子位元規模發展。</p> <p>量子運算的發展受限於量子位元的脆弱性，一般量子位元對環境雜訊極為敏感，容易受到干擾而發生錯誤，使得量子糾錯（Quantum Error Correction）成為必要但又極具挑戰性的課題。微軟解釋，拓撲量子位元技術核心概念來自於理論物理中已預測但未曾真正應用的馬約拉納零模（Majorana Zero Modes）。拓撲量子位元與傳統設計不同，其量子資訊受到拓撲性質保護，使其天生具備更高的穩定性，能減少錯誤校正的資源需求，進而提升運算效率並縮小硬體規模。</p> <p>微軟解釋，技術突破的關鍵在於拓撲導體（Topoconductor），這是一種新型材料，結合砷化銦半導體與鋁超導體，透過磁場與低溫環境產生拓撲超導態，進一步形成馬約拉納零模。微軟近期發表於《Nature》的研究證實，他們已成功創造馬約拉納準粒子，並能可靠地測量其中的量子資訊。</p> <p>除了硬體技術的突破，微軟也重新思考了量子運算的控制架構。一般量子運算需要透過類比訊號來精準調整量子態，每個量子位元都需要獨立控制，這使得系統在擴展至更大規模時面臨極大挑戰。反之，Majorana 1的設計展現出高度的可擴展性，其架構不僅能支援大規模量子運算，還能與現有的雲端基礎設施整合。</p> <p>Majorana 1量子處理器的特色在於其高密度量子位元整合能力，目前微軟已成功放置8個拓撲量子位元，未來計畫擴展至百萬量子位元，以實現大規模、容錯量子運算。Majorana 1的運算單元將拓撲量子位元與控制電路緊密整合，將完整的運算與控制模組封裝於單一晶片，使其具備高計算效率與低延遲特性。</p> <p>微軟指出，相較於傳統量子處理器依賴外部控制硬體來調整量子態，Majorana 1採用數位化測量導向架構（Measurement-Based Approach），透過數位訊號來驅動計算與錯誤校正。這種設計不僅減少運算延遲，提高計算穩定性，也讓大規模量子計算機的擴展更具可行性。</p> <p>在執行環境方面，Majorana 1採用低溫運作模式，並已與Azure Quantum基礎設施整合，使其能夠直接部署至Azure資料中心，支援量子與傳統雲端運算的混合應用。由於其封裝設計考量可擴展性，基於拓撲量子位元的特性，可減少部分量子糾錯資源更符合雲端架構需求，加速量子運算技術的實用化。</p> </div></div></div>
2025/2/21 08:16作者李建興https://www.ithome.com.tw/news/167488
淺談動態資料治理
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1220-itshu_zhai_-1p-zi_liao_zhi_li_ji_shu_shou_ce_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">歷程或出處是指資料在提取－轉換－載入（ETL）和其他移動過程中，所採用的「路徑」紀錄。當新的資料集和資料表在整個資料生命週期中經歷創建、丟棄、以及普遍被使用時，歷程可以是資料來源，也就是創建、轉換、導入的視覺化表示方式，它應該有助於回答「為什麼這個資料集會存在？」的問題，和「資料從何而來？」</p> <p dir="ltr">當資料在您的資料湖泊中移動時，它會與來自其他地方的資料，混合並且交互作用以產生洞見。但是，元資料，也就是有關資料來源及其分類的資訊在資料傳輸過程中有丟失的風險。例如，對於給定的資料源，您可能會問「這個來源的資料品質如何？」因為，它可能是高度可靠的自動化過程，也可以是人工建立/驗證的資料集。由於不同來源的資料會混合在一起，而這些描述資料的背景資訊有時會丟失，以致於您可能不太信任其他來源的資料。</p> <p dir="ltr">資料來源的元資料資訊，例如敏感性、品質、資料是否包含個人識別資訊（PII）等，可以支持是否允許混合某些資料以輸出最終結果、是否允許存取該資料以及該資料應該給誰等等的決策。在混合某些資料以輸出結果時，您需要追蹤其資料來源。而且，預計使用這個資料結果以達成的業務目標尤其重要，因為創建的資料產品應該要有助於實現該業務目標。例如，假設業務目標要求資料在單位時間內須具有一定的準確性，請確保資料歷程不會在處理資料時，降低時間單位的精準度。由此，我們可以得知歷程對於有效的資料治理政策至關重要。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>如何蒐集歷程？</strong></span></span></p> <p dir="ltr">理想情況下，從資料的開始到結束，您的資料倉儲或資料目錄將擁有一個可檢視任何被使用的資料產品、儀表板或模型的功能，並且可以蒐集沿途中每個動作的歷程。但這樣的做法很少見，而且很可能會有盲點。對每個資料產品，您將不得不推論相關的資訊，或者以其他方式手動整理資訊以縮小與事實的差距。一旦您獲得此資訊後，便可根據其可信度，將其用於治理目的。</p> <p dir="ltr">對於成功的企業來說，資料以指數型速度累積很常見；隨著資料的增長，在歷程蒐集過程中，允許越來越多的自動化，並依次減少對人工管理的依賴相當重要。自動化建立資料歷程並且盡量地減少人為的介入，有助於資料產品的發展與獲取終端使用者的信任。</p> <p dir="ltr">另一種蒐集/創建歷程資訊的方法，是連接到資料倉儲的API日誌檔。API日誌檔應包含所有SQL工作，以及所有程式化的資料渠道，如R、Python等。如果有一個理想的工作稽核日誌檔，您可以用它來創建一個歷程圖。例如，這允許創建資料表的指令以便於回溯至先前資料表的模樣。但這樣的做法不如即時地記錄歷程有效，因為它需要回溯日誌檔和批次處理。但是如果您關注的是資料倉儲中的歷程，這種方法可能非常有用！</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>如何治理動態資料？</strong></span></span></p> <p dir="ltr">假設歷程資訊保存良好且在一定程度上是可靠的，一些關鍵的治理應用程式就會依賴資料歷程。</p> <p dir="ltr">歷程可以滿足的一個常見需求是除錯或理解資料的突然變化。為什麼某個儀表板停止正確顯示？哪些資料導致了某種機器學習演算法的準確性發生了變化？諸如此類的需求。從最終產品中找出匯入哪些資訊後就發生了變化，例如，品質突然下降、欄位值缺失、某些資料不可用等等，此外，了解資料的路徑和轉換也有助於快速地解決資料轉換錯誤。</p> <p dir="ltr">在所述歷程是可靠的前提下，通常針對資料欄位的另一個需求是，推斷資料類別的能力。例如，針對包含個人識別資訊（PII）的特定行，如想將基於此行所衍生的資料都標記為個人識別資訊（PII），而且之後衍生的行，也都想實施同樣的存取/保留/遮蔽等策略，可能就會需要一些特定的演算法，使您能夠在該行被精確地複製時實施相同的存取策略；但如果衍生行的內容是空值，則只能實施不同策略，或無法實施既有的控制策略。</p> <p dir="ltr">圖6-4是一張稍微複雜一點的歷程圖。隨著資料從外部資料源移動到資料表D，以及隨著資料表D，與資料表A和資料表B的副產品「資料表C」合併，並最終呈現在儀表板中，您可以看到整個歷程經過，尤其是行級別的歷程有多重要。例如：假設不管是資料表A、資料表B還是外部資料源，都是只有其中一行包含個人識別資訊（PII），並且公司對個人識別資訊（PII）的政策是「僅允許全職員工可以存取」。因此，如果讓個人識別資訊（PII）進入到儀表板，應該就會影響到儀表板本身的存取策略。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86_%E5%9C%964.png" style="width: 500px;" /></p> <p dir="ltr"><strong><span style="font-size:14px;"><span style="color:#696969;">圖6-4：歷程的工作流，如果資料表B包含敏感資料，則儀表板中也可能找到該敏感資料。</span></span></strong></p> <p dir="ltr">但長期以來，資訊長（CIO）和資安長（CISO）期望的使用案例則更為廣泛：</p> <blockquote><p dir="ltr"><strong>「我想確定哪些系統可信任，並確保就算沒有人工監督，資料也不會存在於其他比較不受信任的系統中。」</strong></p> </blockquote> <p dir="ltr">這種需求可以透過在受信任系統上實施出口控制來解決，如果使用良好的歷程解決方案，這項任務可能會更簡單。例如，藉由這種方式，資料來源將被顯示在歷程資訊中，因此您可以防止來自未經批准系統的資料被攝取至受信任之環境。</p> <blockquote><p dir="ltr"><strong>「我需要能夠輸出報告，和稽核所有處理個人識別資訊（PII）的系統。」</strong></p> </blockquote> <p dir="ltr">這是GDPR時代的普遍需求，如果您標記個人識別資訊（PII）的所有來源，就可以利用歷程圖來識別個人識別資訊（PII）的處理位置，從而實現更高級別的控制。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>策略管理、模擬、監控、變更管理</strong></span></span></p> <p dir="ltr">本質上，資料治理政策應該從資料的含義中推導出來。如果在某個組織中想要管理個人識別資訊（PII），並將個人識別資訊（PII）定義為個人電話號碼、電子郵件地址和街道地址，則可以自動地檢測這些個人資訊類型，並將其與資料類別相關連。然而，掃描資料表，並確定哪些行包含這些資訊類型在計算上很昂貴。為了正確識別資訊類型，在不知道哪些行包含敏感資訊的情況下，需要採樣整個資料表，並且透過模式匹配和機器學習模型處理這些採樣，從而提供對基礎資訊類型的可信度，並適當地標記行。</p> <p dir="ltr">但是，如果您可以只需識別該標記行的創建事件，則此過程會變得更具效率。而這就是資料歷程發揮效用的地方。</p> <p dir="ltr">歷程資訊的另一個用途是資料變更管理的考量。假設您要刪除某個資料表；或者，您想要更改資料類別的存取策略；又或者您可能想設置一個資料保留控制元件，在一段時間後將資料內容變得更加簡略，例如30天後，將資料從「GPS座標」更改為城市/州。透過歷程，您可以追蹤受影響的資料到其最終產品，並分析此更改的影響。假設您想要限制資料表中某些欄位的存取，您可以透過查看哪些儀表板或系統會使用到這些即將遭受限制的欄位值，並評估受影響的範圍。一個理想的結果是當終端使用者在存取資料/儀表板時，會跳出一個提醒視窗顯示存取權限發生變化，因此可以在更改策略時發出警告，提醒管理員某些使用者將失去存取權限，甚至可能允許一定程度的深入鑽研，以便檢查這些使用者受影響的情況並做出更明智的決定。<strong>（本文摘錄整理自《資料治理技術手冊》，碁峰資訊提供）</strong></p> <div> <p class="rtecenter"> <img alt="" src="https://s4.itho.me/sites/default/files/images/1220-IT%E6%9B%B8%E6%91%98-1P-%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86%E6%8A%80%E8%A1%93%E6%89%8B%E5%86%8A-600.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_碁峰資訊</span></span></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">資料治理技術手冊（Data Governance: The Definitive Guide）</span></strong></p> <p dir="ltr">Evren Eryurek、Uri Gilad等／著；簡誌宏／譯</p> <p dir="ltr">碁峰資訊出版</p> <p dir="ltr">定價：580元</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86_%E5%9C%962_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.png" style="width: 150px;" /></p> <p dir="ltr"><a href="https://www.amazon.com/stores/Evren-Eryurek/author/B08WJN2PG1?ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Amazon</span></span></a></p> <p dir="ltr"><strong>Evren Eryurek</strong></p> <p dir="ltr">Evren Eryurek博士是Google Cloud資料分析和資料管理產品組合的領導人。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86_%E5%9C%963_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.png" style="width: 100px;" /></p> <p dir="ltr"><a href="https://www.amazon.com/stores/Uri-Gilad/author/B08W6QPM69?language=zh_TW&ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Amazon</span></a></p> <p dir="ltr"><strong>Uri Gilad</strong></p> <p dir="ltr">Uri Gilad領導Google Cloud中巨量資料的資料治理。</p> </div> </div></div></div>
2025/2/21 06:00未署名https://www.ithome.com.tw/article/167176
加密貨幣產業的黑暗面
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1223-itshu_zhai_-1p-bi_zhang_wu_yi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">早安財經文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我不會騙你。」山姆．班克曼—弗里德（Sam Bankman-Fried，簡稱SBF）對我說。</p> <p>這句話，就是在騙！</p> <p>當時我們在他巴哈馬辦公室裡，我把椅子拉到他桌邊，啟動錄音機。我是彭博社（Bloomberg）的調查記者，公司派我飛來採訪這位全球加密狂潮的關鍵人物。</p> <p>SBF盯著眼前六台螢幕，一邊看emails一邊告訴我，關於加密貨幣，他會對我知無不言，言無不盡。《富比士》（Forbes）才剛宣布他是全球三十歲以下的首富，但他看起來像個圖書館裡通宵K書後被搖醒的學生，一身邋里邋遢，沒穿鞋子，穿著藍色短褲與灰色T恤，T恤上印著他的加密貨幣交易所FTX字樣。他那爆炸頭被耳機壓得歪七扭八，像隻剃毛剃到一半的綿羊。他桌上有一包打開的鷹嘴豆咖哩，那是他昨天的午餐。</p> <p>我原本的計畫是寫一篇人物報導，讓大家認識這位幣圈金童。這個年僅二十九歲的年輕人，似乎已經預見了貨幣的未來。他崛起的速度極快，所以當他說FTX有朝一日會主宰華爾街時，大家都覺得很有可能。他的身價至少有兩百億美元，但他宣稱，自己賺錢只是為了把所有的財富都捐出去。他開的是豐田Corolla汽車，喜歡睡在辦公室的懶骨頭上，我可以看到，那懶骨頭就放在他辦公桌旁邊。</p> <p>這是個令人難以抗拒的故事。問題是，它根本是假的。當媒體、政治人物、創投業者、投資銀行家盛讚他是樂善好施的金童──相當於數位時代的巴菲特（Warren Buffett）或J．P．摩根（J. P. Morgan）──時，他正偷偷挪用客戶數十億美元的資金，揮霍在糟糕的交易、找名人代言，以及，像毒梟在洗錢似的，大手筆買進小島上的房地產。</p> <p>我坐在繼伯納．馬多夫（Bernie Madoff）之後最大的騙子身邊，可以清楚看到他的emails、公司內部聊天內容與交易紀錄，但我還是不知道他在搞什麼鬼。</p> <p>「對我來說，把事情解釋清楚是我現在最想做的事。」SBF一邊說，一邊狂抖著那雙穿著短襪的腳，「你可以把我當成你的消息來源。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>這是一台被動過手腳的大型吃角子老虎機，快來玩！</strong></span></span></p> <p>我當然有很多疑問。打從開始研究幣圈的那天起，我就看到一堆警訊。這些公司為什麼要把總部設在惡名昭彰的離岸監管天堂？那些名不見經傳的阿貓阿狗虛擬貨幣，據說價值數百億美元，究竟是怎麼回事？這會不會是導致未來金融動盪的肇因？這一切，都是騙局嗎？</p> <p>就在我造訪SBF在巴哈馬小島上所打造的帝國時，金融界的理性邏輯已經瓦解。幾乎沒有人知道加密貨幣是用來幹什麼的，連那些所謂的專家也無法解釋。大家根本搞不清楚，為什麼許多虛擬貨幣會有價值。</p> <p>但從二○二○到二二年初，比特幣（Bitcoin）和其他數百種次要貨幣的價格持續飆漲，而且很多貨幣的名字都很可笑，例如狗狗幣（Dogecoin）、索拉納幣（Solana）、波卡幣（Polkadot）、滑順愛情魔藥幣（Smooth Love Potion）。</p> <p>加密貨幣的擁護者宣稱，他們是一場革命的先鋒，這場革命，將會帶來金融民主化，並為相信加密貨幣的人帶來世世代代的財富。不斷飆漲的行情，淹沒了質疑的聲音。一個個難以理解的術語，諸如區塊鏈（Blockchain）、去中心化金融（DeFi）、Web3、元宇宙（metaverse）等等，如今無所不在。這些術語究竟是什麼意思不重要，報紙、電視、社群媒體照樣放送著各種靠這些玩意兒一夕發財的故事。</p> <p>加密貨幣就像一台被動過手腳的大型吃角子老虎機，幾乎每次拉霸都能賺錢。全世界有好幾億人受到誘惑，都知道有人海撈一票發了大財，相信著只要有更多人繼續買進，價格就會漲更高。</p> <p>然而，現實世界並沒有因為這一切而開始改用加密貨幣。沒有人剪掉信用卡、關掉銀行帳戶、不再用現金，轉而使用卡爾達諾幣（Cardano）之類的加密貨幣。只見那些推銷者、狂熱者、投機者及徹頭徹尾的騙子都發財了，變得極其富有。他們有錢到令人難以置信、無法想像、不可思議。</p> <p>SBF告訴我，他的FTX同事中，已經有五位是億萬富豪，這還只是其中一家加密貨幣公司而已。另一家加密貨幣交易所幣安（Binance）的創辦人趙長鵬（簡稱CZ），已經有約九百六十億美元的身價。這些數字如此龐大，就連最荒謬的加密貨幣妄想聽起來也顯得合理，看起來，加密貨幣上漲是擋不住的趨勢。</p> <p>當然，是漲到紙牌屋崩塌為止。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>賭徒、程式設計師、炒作者與億萬富豪</strong></span></span></p> <p>這是一場史上最瘋狂的金融行情。剛開始，我打算深入調查的是泰達幣（Tether，主要功能是扮演加密產業的銀行），沒想到後來演變成一場為期兩年的旅程，從曼哈頓延伸到邁阿密，再到瑞士、義大利、巴哈馬、薩爾瓦多及菲律賓。</p> <p>這本書是根據我對幣圈不同階層人士所進行的數百次採訪撰寫而成，其中有賭徒、程式設計師、炒作者與億萬富豪。我在狂潮顛峰期間去過他們的遊艇與派對，也在政府展開調查時造訪過他們的藏身之所。</p> <p>打從一開始，我就覺得加密貨幣很扯，沒想到事實證明，它比我想像的更扯。過去從來沒有那麼多的財富，是靠如此薄弱的概念創造出來的。真正讓我震驚的，倒不是那些搞加密貨幣的人有多膚淺，而是他們給世界帶來的毀滅性後果。調查旅程的尾聲，我來到了柬埔寨，追查加密貨幣如何助長中國詐騙集團販運人口。</p> <p>二○二一年十一月，加密狂潮接近顛峰時，我向出版社提出寫這本書的構想。當時我預測，加密貨幣很快就會崩盤，而我將是這場災難的記錄者。三個月後，我坐在SBF在巴哈馬的辦公室裡，從他那頭蓬亂的爆炸頭後面看著他的電腦螢幕，竟渾然不覺在我眼前上演中的巨大騙局。事實上，當時的我甚至擔心，我可能永遠也搞不清楚加密貨幣狂潮背後的祕密。</p> <p>但我仍然十分確定，這個規模龐大的加密貨幣市場本質上是一個類似老鼠會的金字塔式騙局，只是還沒有爆。整個產業正蓬勃發展，而且很有可能在我截稿後還一直漲。或許，加密貨幣會繼續吸引更多追隨者，漲勢再也擋不住。這本書的結局會怎樣，我也不知道。</p> <p>在和SBF相處幾個小時後，我決定開門見山地提出我的疑問：泰達幣聲稱是安全的加密銀行，是加密貨幣的支柱，但我認為那可能是一場騙局，會拖垮整個產業。</p> <p>SBF說，我錯了。加密貨幣不是騙局，泰達幣也不是，但他也不認為我的問題冒犯了他。</p> <p>他說他完全理解我的想法，接著他做了一件當時我並不覺得奇怪的事，但如今回想起來，我不禁懷疑他是否在對我暗示什麼。</p> <p>我試圖進一步解釋時，SBF打斷了我的話，用快要笑出來的語氣說：「你是不是覺得如果答案是『哇靠！這是世界上最大的龐氏騙局（Ponzi scheme）』會更勁爆，對吧？」</p> <p>嗯，就是。<strong>（本文摘錄整理自《幣漲無疑》前言，早安財經文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1223-IT%E6%9B%B8%E6%91%98-1P-%E5%B9%A3%E6%BC%B2%E7%84%A1%E7%96%91-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_早安財經文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 幣漲無疑：加密貨幣，一場史詩級騙局？（Number Go Up）</strong></p> <p>齊克．法克斯（Zeke Faux）／著；洪慧芳／譯</p> <p>早安財經文化出版</p> <p>定價：550元</p> <p><a href="https://tinyurl.com/2bco8dtr" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1223-IT%E6%9B%B8%E6%91%98-1P-%E5%B9%A3%E6%BC%B2%E7%84%A1%E7%96%91-220.jpg" style="width: 220px;" /></a></p> <p><a href="https://tinyurl.com/2bco8dtr" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Vincent Tullo</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>齊克．法克斯（Zeke Faux）</strong></p> <p>《彭博商業周刊》與「彭博新聞社」的調查記者，也是「新美國」（New America）的國家研究員。作品以深入報導金融犯罪、詐騙，以及揭露金融業內部陰暗面聞名，幫助公眾了解複雜的現代經濟體系中隱藏的風險與潛在影響。以其獨到的調查視角和深入報導的風格，在金融新聞界備受讚譽。曾榮獲財經新聞界的最高榮譽羅布獎（Gerald Loeb Award）與美國律師協會的銀法槌獎（Silver Gavel Award），亦曾入圍美國國家雜誌獎（National Magazine Award）。現與妻子和三個孩子住在布魯克林。</p> </div></div></div>
2025/2/21 06:00未署名https://www.ithome.com.tw/article/167431
【資安日報】2月20日，Palo Alto Networks防火牆已知漏洞被用於攻擊網頁管理介面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定Palo Alto Networks防火牆漏洞進行利用的攻擊行動，去年11月已傳出相關資安事故，如今有人將當時公布的漏洞與今年2月的漏洞串連，發起新一波的攻擊行動。</p> <p>值得留意的是，大多數的防火牆曝露在網際網路上，而容易成為駭客下手的目標，若是沒有套用相關的修補程式，就有可能遭到入侵，甚至成為攻擊者進入企業組織內部環境的管道。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167473"><strong style="font-size: 22px;">Palo Alto Networks警告防火牆漏洞遭到串連，攻擊者將其用於對網頁管理介面下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GkHsECfWsAAOmrw.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GkHsECfWsAAOmrw.png" style="width: 300px; float: right;" /></a></p> <p>2月13日資安業者Palo Alto Networks發布資安公告，針對旗下防火牆作業系統揭露、修補4項漏洞，其中有3項與網頁管理介面相關，當時通報身分驗證繞過漏洞CVE-2025-0108的資安業者Searchlight Cyber指出，已有攻擊行動出現，一週後Palo Alto Networks證實，部分漏洞出現遭到串連與利用的現象。</p> <p>20日Palo Alto Networks更新兩則資安公告，表示他們觀察到有人將CVE-2025-0108、檔案讀取漏洞CVE-2025-0111，以及去年11月揭露的權限提升漏洞CVE-2024-9474串連，用於實際攻擊行動，對尚未修補的防火牆攻擊網頁管理介面。該公司也呼籲IT人員，應最優先處理CVE-2025-0108、CVE-2025-0111。</p> <p>另一家資安廠商Macnica的資安研究員瀬治山豊透露，全球有3,490臺PAN-OS防火牆系統的網頁管理介面暴露在公開的網際網路上，其中有2,262臺防火牆存在相關弱點。</p> <p><a href="https://www.ithome.com.tw/news/167475"><strong style="font-size: 22px;">分散式資料庫系統Apache Ignite存在9.5分重大漏洞，攻擊者可用來任意執行程式碼</strong></a></p> <p>最近兩、三個月，Apache基金會對於旗下專案修補資安漏洞，而且有不少是重大層級相當危險，最近有資安新聞媒體報導該基金會修補資料庫軟體的情形，引起我們的注意。</p> <p>2月14日Apache基金會指出，旗下的分散式資料庫Ignite存在重大層級資安漏洞CVE-2024-52577，伺服器節點反序列化來源訊息的過程裡，有可能讓攻擊者遠端執行任意程式碼（RCE），第4版CVSS風險評分為9.5（滿分10分）。對此，該基金會發布2.17.0版修補。</p> <p>這項弱點的影響範圍，為2.6.0至2.16.0版Ignite，原因是部分Ignite端點會忽略完成設定的類別序列化過濾器（Class Serialization Filter）。攻擊者使用存在弱點的物件，打造特製的Ignite訊息並傳送到伺服器端點，一旦Ignite伺服器反序列化這種訊息，攻擊者就有機會於伺服器執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/167479"><strong style="font-size: 22px;">Google、Mozilla發布瀏覽器更新，修補記憶體高風險資安漏洞</strong></a></p> <p>2月18日Google、Mozilla發布瀏覽器Chrome 133、Firefox 135更新，修補記憶體高風險漏洞，用戶應儘速套用更新。</p> <p>Google發布了電腦版133.0.6943.126、133.0.6943.127版Chrome，總共修補3項漏洞，從資安風險的嚴重程度來看，CVE-2025-0999、CVE-2025-1426兩項記憶體緩衝區溢位弱點被列為高風險層級值得留意，資安風險皆評為8.8分。</p> <p>Mozilla基金會推出135.0.1版Firefox，修補高風險的記憶體越界寫入（OBW）資安漏洞CVE-2025-1414，雖然Mozilla並未透露其他細節，但他們表示找到會造成記憶體中斷的證據，而能讓觸發漏洞的攻擊者執行任意程式碼。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/new-frigidstealer-malware-targets-macos.html">竊資軟體FrigidStealer假借瀏覽器更新散布，鎖定macOS用戶而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-nailaolocker-ransomware-used-against-eu-healthcare-orgs/">勒索軟體NailaoLocker鎖定歐洲地區醫療機構而來，疑為中國駭客所為</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cofense.com/blog/oauth-phishing-alert-fake-adobe-drive-x-app-abusing-microsoft-login">駭客佯稱提供Adobe應用程式從事OAuth同意網釣攻擊，意圖竊取M365帳號</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/new-golang-based-backdoor-uses-telegram.html">Go語言後門程式利用Telegram機器人的API進行C2通訊，藉此隱匿行蹤</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167485"><strong style="font-size: 22px;">臺灣年底將以醫療領域舉行跨國網路攻防演練</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/grcvzoes_5xw.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/grcvzoes_5xw.jpg" style="width: 300px; float: right;" /></a>2月18日數位發展部資安署舉行署長上任記者會，由於不久前才傳出馬偕醫院遭到勒索軟體CrazyHunter攻擊，因勒索軟體擴散，院內門急診系統超過500臺電腦無法正常運作，因此，對於資安署如何強化醫療體系的資安防護，也備受關注。</p> <p>根據多家媒體的報導，資安署長蔡福隆在這場活動透露，今年底預定舉辦的2025跨國網路攻防演練（Cyber Offensive and Defensive Exercise，CODE），將以醫療機構作為演練場域，提升這類關鍵基礎設施的防護能力。</p> <p>蔡福隆表示，這次的CODE將由國泰、馬偕、新光、長庚、彰基等5家醫院參與，邀請國外專家組成紅隊進行演練，由於醫療體系有許多儀器設備，系統複雜，資安風險相對較高，必須做好聯網及相關管控。對此，他們將請資安院進行關鍵基礎設施的資安深度檢查。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/identity-access-management-security/cyberark-makes-identity-security-play-zilla-acquisition">資安業者CyberArk以1.65億美元買下身分治理與管理業者Zilla</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167455"><strong>【2月19日】新型態名稱混淆攻擊手法鎖定雲端環境的虛擬機器映像檔而來，數千個AWS帳號受害</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167446"><strong>【2月18日】Ivanti旗下SSL VPN系統零時差漏洞在日本傳出攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167393"><strong>【2月17日】資安業者揭露2024年9月Salt Typhoon攻擊全球電信業者更多細節，利用已知漏洞入侵思科設備</strong></a></p> </div></div></div>
2025/2/20 17:35作者周峻佑https://www.ithome.com.tw/news/167487
南山人壽智能客服功能再升級，在NLU結合LLM技術基礎上提供個人化商品推薦服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南山人壽近日宣布，甫在去年上線的智能客服「透透Talk Talk」功能再升級。他們透過在智能客服導入自主研發的推薦機制，來提供個人化保險商品推薦。目前，透透Talk Talk能協助顧客查詢保單狀況、借還款、繳費、解約金試算、延長信用卡效期、資料變更、查詢還本金/滿期金、保單處理進度查詢及專屬互動推薦等服務。</p> <p>南山人壽在去年推出新版智能客服透透Talk Talk。這款客服運用NLU結合LLM技術打造而成，相比運用NLU打造的智能客服系統，透透Talk Talk更能用擬人化的對話方式服務顧客。南山人壽表示，這款客服能透過意圖判斷，找尋對話斷點，降低一般智能客服常見的對話情境斷裂感。並且，若遇到複雜問題，透透TalkTalk能無縫轉接真人文字客服。</p> <p>南山人壽表示，這次透透Talk Talk功能升級，是透過導入自研發的AI商品及服務推薦系統，來新增商品推薦功能。當顧客完成客服提供的短問卷後，系統就能判斷顧客需求，為顧客推薦保險商品和提供健康資訊。另外，南山人壽也有運用預生成模式來控制風險，當客服系統掌握顧客需求後，系統會先倒流至事先撰擬好的口語化推薦文字腳本，再將內容提供給顧客。</p> <p>為了加速數位轉型，南山人壽2023年在內部成立了一支重塑企業文化的推動團隊，名為Beyond Lab，專門協助公司內部單位，從營運分析、流程盤點、梳理到塑模步驟，挖掘流程改善的機會點，來設計出流程優化方案。南山人壽提到，此次智能客服升級導入的AI推薦系統，就是Beyond Lab的研發成果。</p> <p></p> </div></div></div>
2025/2/20 18:30作者李昀璇https://www.ithome.com.tw/news/167490
德意志交易所集團打造雲端交易引擎，加速發展數位資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經營德國最大交易所的德意志交易所集團曾在2023年揭露Horizon 2026戰略，其中一項戰略目標，便是要擴大在傳統資產與新型態資產交易平臺的領先地位。為了達到這項目標，德意志交易所集團擬定的其中一項核心策略，就是要投資數位發展，包括擴大雲端技術應用、加速開發數位證券平臺，和建立可交易其他數位資產的平臺，擴大可投資的資產類別。</p> <p>2023年，德意志交易所集團便和雲端廠商宣布建立策略夥伴關係，要運用雲端技術來加速開發數位證券平臺。這個平臺不僅要能夠處理和現有金融體系掛勾的數位證券，還要能和以區塊鏈技術打造的環境互通，確保平臺在提供數位資產的同時，也能處理所有類型的資產交易，例如股票和ETF產品。</p> <p>今年初，德意志交易所開始開發數位證券平臺。不過，在正式投入數位證券平臺開發前，德意志交易所先投入了十個月的時間，開發出一套雲原生交易引擎。這套雲原生交易引擎是一套元件，能整合至不同平臺中，是集團未來發展數位資產平臺的核心元件。</p> <p>有別於打造傳統交易環境，德意志交易所表示，在打造這套交易引擎時，他們不再強調提供客戶客製化的系統整合，而是要提供彈性、可擴充的交易環境。例如，他們看上雲原生架構可快速擴充的優勢，來加速投資產品上市時間。並且，交易引擎也強調提供API和便利的SDK開發工具包，讓市場參與者能夠開發自己的交易工具或應用程式。</p> <h3>雲原生交易引擎架構</h3> <p>這套雲原生交易引擎採用多市場架構（Multi-Market Architecture），每個交易市場環境都有專屬的API存取點與K8S叢集，各個交易市場都有設置專屬的網路端點群組（NEG），來獨立處理請求。當用戶向交易引擎傳送需求，負載平衡器會根據需求，來將流量導向適當的存取點和K8S叢集。為了降低交易延遲，這套架構採用單租戶設計（Single-Tenancy Model），確保每個市場擁有獨立的子網路，同時透過隔離式網路來防止不同市場的流量互相干擾。<br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/s7-diagram_max-2200x2200.jpg" style="width: 600px;" /></p> <p></p> </div></div></div>
2025/2/20 18:36作者李昀璇https://www.ithome.com.tw/news/167433
是方電訊揭露新藍圖，鎖定資料中心、三環網路打造AI雲端產業生態系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>是方電訊今日（2/20）揭露接下來發展方向，要以既有的IDC機房和三環網路（臺北環、臺灣環和國際環）為核心，來形成包含AI、雲端和運算的產業生態系，並擴大服務涵蓋範圍，要將是方告訴網路數據交換平臺（TPIX）延伸到其他國家，如德國、荷蘭、美國西岸等，在提供更快速的服務同時，連結這些國家的AI、網路服務供應商、OTT等業者。</p> <p><span style="font-size:22px;"><strong>要以資料中心和三環網路，吸引更多國內外AI、雲端等業者</strong></span></p> <p>是方電訊以IDC機房起家，也就是網路資料中心（或稱數據中心），專門提供高可用、高安全性的環境，來存放伺服器、網路設備和相關IT設備。企業可將自己的伺服器放在IDC機房，由機房提供網路、電力、冷卻和維護，雲端服務供應商也可以在IDC機房設置伺服器，來提供運算服務。</p> <p>是方電訊副處長江文漢先是盤點去年績效，是方電訊2024年營收達37.93億元，旗下4大產品線營收占比分別是IDC機房服務營收39%、數據網路服務38.9%、雲端應用服務15.8%、語音通信服務6.3%，其中IDC機房服務和數據網路服務占大宗。</p> <p>是方電訊董事長劭泓嘉點出，IDC機房服務和雲端應用成兩位數增長，今年期望維持這個成長趨勢，而占比次高的數據網路服務要朝精緻化發展、可望持續成長。至於毛利低的語音服務，未來則會持續調低。</p> <p>這4大產品線的績效走勢，奠定了是方電訊接下來的布局策略。江文漢表示，他們將聚焦資料中心和三環網路，來加速數據服務成長。</p> <p>意思是，他們要以自家的IDC資料中心為核心，匯集資源、產生一個產業生態系。這包括串起北部3間IDC機房的臺北環網路，以及串聯臺灣西部科技走廊、北中南科技園區和工業園區的臺灣環網路，來匯集各產業客戶，產生群聚磁吸效應。是方電訊期望，藉此吸引國內外各式服務匯聚其中，並延伸發展接軌國際的國際環，來推動AI運算、雲端等應用服務。</p> <p>江文漢進一步舉例，是方電訊去年啟用的YL2聯雲資料中心大樓，目前就已吸引了公雲服務業者、AI算力服務業者（GMI、Zettabyte等）、電商業者、金融保險服務業者和OTT影音串流服務業者等進駐，接下來則要引進國際雲端、AI、跨境電商和更多OTT業者進駐，並提高網路訊服務。</p> <p>是方電訊也打算擴大三環網路，要將是方TPIX（供國內外業者連線的高速網際網路數據交換服務平臺）服務涵蓋範圍，延伸到其他國家同等平臺，如日本、新加坡已連接，德國、荷蘭、美國西岸，提供更快速的服務同時，還能連結他們的AI、網路服務供應商、OTT等業者。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-20%20185827.png" /></p> <p>不只如此，是方電訊也想以三環網路擴大自己的雲端交換中心和AI服務區域，致力成為東亞數據與AI雲端的算力中心，另也要推動ACTIoN3計畫，透過自家新世代中立機房和三環網路在全球的部署，來雙向引入、輸出國內外業者的AI、雲端、電信和網路服務，讓客戶享受零時差的使用體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-20%20183640.png" /></p> <p>最後，因接下來是方電訊也要輔助企業客戶打造AI加值服務，總經理劉耀元補充，是方自己也有跨部門、跨專業的AI專案小組，先思考可行的應用服務，篩選後再集中火力開發可行性高的服務。</p> <p></p> </div></div></div>
2025/2/20 19:06作者王若樸https://www.ithome.com.tw/news/167491
臺灣年底將以醫療領域舉行跨國網路攻防演練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月18日數位發展部資安署<a href="https://moda.gov.tw/ACS/press/news/press/15240">舉行署長上任記者會</a>，由於不久前才傳出<a href="https://www.ithome.com.tw/news/167327">馬偕醫院遭到勒索軟體CrazyHunter攻擊</a>，因勒索軟體擴散，院內門急診系統超過500臺電腦無法正常運作，因此，對於資安署如何強化醫療體系的資安防護，也備受關注。</p> <p>根據多家媒體的報導，<a href="http://www.cna.com.tw/news/afe/202502180305.aspx">資安署長蔡福隆在這場活動透露</a>，今年底預定舉辦的2025跨國網路攻防演練（Cyber Offensive and Defensive Exercise，CODE），將以醫療機構作為演練場域，提升這類關鍵基礎設施的防護能力。</p> <p>蔡福隆表示，這次的CODE將由國泰、馬偕、新光、長庚、彰基等5家醫院參與，邀請國外專家組成紅隊進行演練，由於醫療體系有許多儀器設備，系統複雜，資安風險相對較高，必須做好聯網及相關管控。對此，他們將請資安院進行關鍵基礎設施的資安深度檢查。</p> </div></div></div>
2025/2/20 16:58作者周峻佑https://www.ithome.com.tw/news/167485
分散式資料庫系統Apache Ignite存在9.5分重大漏洞，攻擊者可用來任意執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近兩、三個月，Apache基金會對於旗下專案修補資安漏洞，而且有不少是重大層級相當危險，最近有資安新聞媒體報導該基金會修補資料庫軟體的情形，引起我們的注意。</p> <p>2月14日Apache基金會指出，旗下的<a href="https://lists.apache.org/thread/1bst0n27m9kb3b6f6hvlghn182vqb2hh">分散式資料庫Ignite存在重大層級資安漏洞CVE-2024-52577</a>，伺服器節點反序列化來源訊息的過程裡，有可能讓攻擊者遠端執行任意程式碼（RCE），第4版CVSS風險評分為9.5（滿分10分）。對此，該基金會發布2.17.0版修補。</p> <p>這項弱點的影響範圍，為2.6.0至2.16.0版Ignite，原因是部分Ignite端點會忽略完成設定的類別序列化過濾器（Class Serialization Filter）。攻擊者使用存在弱點的物件，打造特製的Ignite訊息並傳送到伺服器端點，一旦Ignite伺服器反序列化這種訊息，攻擊者就有機會於伺服器執行任意程式碼。</p> </div></div></div>
2025/2/20 11:58作者周峻佑https://www.ithome.com.tw/news/167475
Google、Mozilla發布瀏覽器更新，修補記憶體高風險資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月18日Google、Mozilla發布瀏覽器Chrome 133、Firefox 135更新，修補記憶體高風險漏洞，用戶應儘速套用更新。</p> <p>Google發布了<a href="https://chromereleases.googleblog.com/2025/02/stable-channel-update-for-desktop_18.html">電腦版133.0.6943.126、133.0.6943.127版Chrome</a>，總共修補3項漏洞，從資安風險的嚴重程度來看，CVE-2025-0999、CVE-2025-1426被列為高風險而值得留意。</p> <p>這些高風險漏洞都是記憶體緩衝區溢位弱點，資安風險皆<font face="sans-serif, Arial, Verdana, Trebuchet MS">評</font>為8.8分。CVE-2025-0999涉及JavaScript引擎V8，Google提供通報的研究人員1.1萬美元獎勵；另一個漏洞CVE-2025-1426，則是出現在顯示晶片元件。</p> <p>Mozilla基金會<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-12/">推出135.0.1版Firefox</a>，修補高風險的記憶體越界寫入（OBW）資安漏洞CVE-2025-1414，雖然Mozilla並未透露其他細節，但他們表示找到會造成記憶體中斷的證據，而能讓觸發漏洞的攻擊者執行任意程式碼。</p> </div></div></div>
2025/2/20 14:51作者周峻佑https://www.ithome.com.tw/news/167479
產業系統化創新的崛起
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會在2月19日<a href="https://www.ithome.com.tw/news/167460" target="_blank">宣布了金融科技產業聯盟的誕生</a>，透過四大工作圈的方式，由四大金控擔任召集人，帶頭推動不同主題的數位金融創新計畫。我覺得，不只是這些計畫成果值得期待之外，更重大的意義是，這套聯盟合作創新制度的設立，意味著產業系統化創新的制度化。</p> <p>在組織管理中，系統化創新一直是企業創新的顯學，不是透過少數人，一次性的創新計畫，而是建立一套制度和做法，讓企業內的眾人，不同部門，能夠持續不斷的創新。這向來也是許多積極擁抱科技創新的CIO們慣用的策略。</p> <p>要在一家企業內推動系統化創新，已經不是一件容易的事，更不用說，要讓不同企業，甚至是同產業中的競爭者，長期性的合作，更是難得。</p> <p>過去，雖然也有一些大型金控，帶頭發起這樣的聯盟計畫，像是去年，由行政院等政府機關，和三十多家銀行聯合組成的<a href="https://www.ithome.com.tw/news/165869" target="_blank">「鷹眼識詐聯盟」</a>，就是一例。</p> <p>這個聯盟的產業主推手是富邦金控，他們分享了自建的防詐預測模型技術，讓多家銀行聯手來管控警示帳戶，阻止了數億元的詐騙金額，這是透過科技創新和跨企業合作才能實現的成果。</p> <p>這樣的案例，可遇不可求，得有一個可以創造雙贏、多贏的課題，以及願意貢獻自家技術的領頭羊，金融科技創新上的跨企業聯手創新實例，並不多。</p> <p>但是，越來越多新興的產業課題或科技挑戰，大家都想用或者都有類似需求，但是，很難只靠自己一家企業達成，例如資安聯防、金融防詐等，都是越多企業聯手，才越有效果的共同課題。生成式AI的挑戰也是這類，大家都想有一套金融LLM，但是自己跳下來做，又不見得負擔得起算力和訓練資料量的成本。</p> <p>金管會推動的金融科技產業聯盟制度，讓企業聯盟，變成了一種可以長期發展的系統化作法。召集人兩年一任，讓有興趣的金融業者志願輪流擔任。聯盟更有一套彼此合作、付費運作的工作圈制度，來發展特定金融科技創新主題的計畫。其他金融業者，甚至未來可以是其他產業的企業，也有一套機制，可以加入特定主題的工作圈。</p> <p>工作圈的創新成果，未來甚至可以商品化，變成正式對外收費的服務後，再將服務收益，以回饋金的形式，來支援原本工作圈的長期運作，形成一套可以永續的運作模式。金管會則提供法規調適上的支援，也與各個工作圈有一套定期溝通的制度。</p> <p>這種工作圈形式，不同於原本產業工會原本就有的工作小組，例如銀行公會旗下有多個任務小組，也包括金融科技議題的小組。產業工會工作小組主要以制度、法規、自律公約的討論為主，但工作圈則偏重於執行，甚至就是要發展出一套平臺，一套實務上可用的模式和系統。</p> <p>從目前四大工作圈的重點專案來看，中信金控帶頭的金融科技應用研發工作圈先聚焦科技防詐，玉山金控負責的數位金融實務規範建議工作圈則先從金融無塵室著手，凱基金控的金融科技投資交流工作圈則要設立一個投資本土金融科技創新為主的母基金。</p> <p>最後一個國泰金控召集的異業生態共創工作圈，則提出三個創新提案，涉及聯合學習技術、醫療FHIR互通標準和區塊鏈數位金融護照等。</p> <p>金融業是臺灣科技創新的火車頭產業，像是率先發布了金融業運用AI指引，或像金融上雲也加速了後來醫療上雲的發展，這次的金融科技產業聯盟的出現，不只是他們的成果，對各產業未來的連帶影響，都相當值得期待。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%87%91%E8%9E%8D%E7%A7%91%E6%8A%80%E7%94%A2%E6%A5%AD%E8%81%AF%E7%9B%9F">金融科技產業聯盟</a></div><div class="field-item odd"><a href="/tags/%E9%87%91%E7%AE%A1%E6%9C%83">金管會</a></div><div class="field-item even"><a href="/tags/%E7%B3%BB%E7%B5%B1%E5%8C%96%E5%89%B5%E6%96%B0">系統化創新</a></div><div class="field-item odd"><a href="/tags/%E9%B7%B9%E7%9C%BC%E8%AD%98%E8%A9%90%E8%81%AF%E7%9B%9F">鷹眼識詐聯盟</a></div></div></div>
2025/2/20 16:05作者王宏仁https://www.ithome.com.tw/voice/167480
Google iOS版App不再支援Gemini，要求用戶下載獨立App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近日移除iOS版Google App的Gemini功能，要求iPhone用戶下載獨立的Gemini App。</p> <p>Android Central首先<a href="https://www.androidcentral.com/apps-software/gemini-is-no-longer-available-in-the-google-app-for-ios" target="_blank">報導</a>，Google發信通知iOS用戶，為了提供更好的使用體驗，已經從Google App中移除Gemini。Google說Gemini現在有自己的App，是使用Gemini最佳地方，要持續使用Gemini的話，建議到App Store下載新的Gemini App。</p> <p>Gemini iOS版App提供原本內建於Google App的相同功能，包括即時查詢、回覆問題和提供建議、可整合Google主要應用如Google Search、YouTube、Maps、Gmail，也能接受圖片輸入並且生成圖片。但也提供原本沒有的進階語音模式Gemini Live。在iPhone上啟用這項功能時，會出現在動態島和鎖定螢幕上，方便用戶直接與之互動。</p> <p>獨立的Gemini App是免費的，但更方便升級到Gemini Advanced，後者包含在Google one AI進階版方案中，訂閱月費18.99美元或650元臺幣。</p> <p>根據App Store上2月20日更新的Google App <a href="https://apps.apple.com/tw/app/google/id284815942" target="_blank">356.2版</a>功能，已經不包含Gemini的描述。</p> </div></div></div>
2025/2/20 13:01作者林妍溱https://www.ithome.com.tw/news/167476
Palo Alto Networks警告防火牆漏洞遭到串連，攻擊者將其用於對網頁管理介面下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月13日資安業者Palo Alto Networks發布資安公告，<a href="https://www.ithome.com.tw/news/167368">針對旗下防火牆作業系統揭露、修補4項漏洞</a>，其中有3項與網頁管理介面相關，當時通報身分驗證繞過漏洞CVE-2025-0108的資安業者Searchlight Cyber指出，已有攻擊行動出現，一週後Palo Alto Networks證實，部分漏洞出現遭到串連與利用的現象。</p> <p>今天Palo Alto Networks更新兩則資安公告，表示他們觀察到有人將<a href="https://securityadvisories.paloaltonetworks.com/CVE-2025-0108">CVE-2025-0108</a>、<a href="https://security.paloaltonetworks.com/CVE-2025-0111">檔案讀取漏洞CVE-2025-0111</a>，以及<a href="https://www.ithome.com.tw/news/166075">去年11月揭露</a>的權限提升漏洞CVE-2024-9474串連，用於實際攻擊行動，對尚未修補的防火牆攻擊網頁管理介面。該公司也呼籲IT人員，應最優先處理CVE-2025-0108、CVE-2025-0111。</p> <p>值得留意的是，13日這些漏洞資訊公開之際，當天就傳出有資安廠商揭露<a href="https://www.greynoise.io/blog/greynoise-observes-active-exploitation-of-pan-os-authentication-bypass-vulnerability-cve-2025-0108">攻擊行動出現的情況</a>。威脅情報業者GreyNoise同日表示，他們有2個惡意IP位址嘗試利用CVE-2025-0108，到了18日增加至25個，這些攻擊IP位址主要來自美國、德國、荷蘭。</p> <p>另一家資安廠商Macnica的資安研究員瀬治山豊透露，<a href="https://x.com/nekono_naha/status/1892053691743486053">全球有3,490臺PAN-OS防火牆系統的網頁管理介面暴露在公開的網際網路上</a>，其中有2,262臺防火牆存在相關弱點。近三分之一位於美國，有707臺，其次是印度和泰國，分別有222、106臺。值得留意的是，臺灣有69臺曝險，數量全球第7。</p> </div></div></div>
2025/2/20 11:00作者周峻佑https://www.ithome.com.tw/news/167473
蘋果推出最新平價版機種iPhone 16e，趕上AI列車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於今（20）日凌晨<a href="https://www.apple.com/newsroom/2025/02/apple-debuts-iphone-16e-a-powerful-new-member-of-the-iphone-16-family/" target="_blank">公布</a>最新平價iPhone 16e，並且加入Apple Intelligence功能成為最便宜的iOS AI裝置。臺灣<a href="https://www.apple.com/tw/iphone-16e/specs/" target="_blank">定價</a>21,900元，於周五（2/21）晚上9點接受預購，2月28日上市。</p> <p>這個新命名證實了幾個月來業界<a href="https://www.macrumors.com/2025/02/18/iphone-16e-name-is-likely/" target="_blank">傳聞</a>。最早中國社群<a href="https://x.com/MajinBuOfficial/status/1891857914849116175" target="_blank">網站</a>上有網友爆料iPhone SE下一代並不叫SE，而叫iPhone 16e，原因是16e將具備類似iPhone 16的規格。</p> <p>這也讓16e不再是獨立的平價產品線。蘋果說明，iPhone 16e為iPhone系列最新成員，以可負擔的價格提供強大能力，並為SE機種首度加入Apple Intelligence。iPhone 16e提供黑、白兩色，在美售價599美元起跳，臺灣定價21,900元，並與美國同步於周五（2/21）晚上9點接受預購，2月28日上市。</p> <p>16e使用最新的iOS 18，具備6.1吋Super Retina XDR OLED螢幕，搭載iPhone 16系列的蘋果自製晶片A18，以及4核GPU與16核心神經網路引擎，並首度使用蘋果自行設計的行動數據晶片Apple C1，提供高效能及SE系列最長，最高比iPhone 11長6小時的電池續航力，更比所有SE系列長12小時。</p> <p>iPhone 16e最大特色是支援Apple Intelligence。內建AI的本機應用像是「清除」工具讓用戶可移除相片中不想要的雜物、「相片」App加入AI自然語言搜尋方便搜尋特定相片。ChatGPT和Siri及「撰寫工具」的整合，方便用戶以Siri執行AI任務，像是查詢，或是在iPhone上直接生成文件或信件。</p> <p>其他方面，iPhone 16e具備4800萬像素結合Fusion相機及2倍焦距的二合一後向相機系統，前置相機採用「原深感測鏡頭」（TruthDepth），這顆鏡頭讓16e實現Face ID作為生物辨識驗證，而不再使用Touch ID。16e也轉向USB-C傳輸埠，提供無線充電和USB-C充電選擇。影音方面，這款平價機支援以60fps錄製4K杜比影像，並可錄下空間音效聲音，還具有以ML為基礎的降噪功能。蘋果也強調iPhone 16e的永續性，包括機身採用30%以上的再生材料，電池採用循環再造鈷、再造鋰，機身則採用再生鋁金屬等。</p> <p>iPhone 16e將是蘋果搶回市場的重點產品。根據IDC最新<a href="https://www.idc.com/getdoc.jsp?containerId=prAP53146225" target="_blank">數據</a>，上季蘋果雖然仍是全球智慧型手機之冠，但年減9.6%，已領先中國業者不多。反觀vivo、小米增加14%及28.4%，分居二、四名。過去飽經封鎖壓力的華為更是增長近23%回到全球第三位。</p> </div></div></div>
2025/2/20 11:07作者林妍溱https://www.ithome.com.tw/news/167474
Rust企業採用率穩步成長，但學習門檻高與工具效能低仍受關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust團隊公布的2<a href="https://blog.rust-lang.org/2025/02/13/2024-State-Of-Rust-Survey-results.html">024年Rust社群調查</a>顯示，雖然Rust企業採用率持續上升，開發者仍然看重其安全性與效能優勢，但調查參與人數減少，可能反映社群活躍度趨緩。學習門檻、工具鏈效能與生態系發展速度仍是開發者關注的核心議題，如何提升開發體驗，將影響Rust未來的成長動能。</p> <p>今年調查的受訪人數減少近20％，從2023年的11,950人降至9,450人，完成問卷的人數則從9,710人降至7,310人，而且完成率也下滑至77.4％。官方認為，填寫問卷人數下降的現象，與調查時間從近一個月縮減至兩星期有關，而問卷太長進一步影響完成率。不過，此一變化也可能反映出Rust社群結構正發生變化，或是部分開發者對參與調查的興趣降低。</p> <p>根據調查，45.5%受訪者所屬企業有實質採用Rust，相較去年的38.7%成長約7個百分點，代表Rust在企業環境中的採用率穩定上升。企業導入Rust主要仍是基於安全性與效能理由，開發者普遍認為Rust能有效減少記憶體錯誤與執行階段錯誤，這也是Rust近年來進入企業市場的重要優勢。Rust在特定領域也保持穩定成長，如後端開發、網路服務、雲端應用及嵌入式系統。</p> <p>而學習門檻仍是影響Rust採用的關鍵因素，調查顯示，31％的非Rust使用者認為語言過於困難，這與過去的調查結果一致。此外，36％曾使用Rust但後來不再使用的開發者表示，他們離開Rust主要是因為不可控因素，如專案需求改變、團隊決策或技術棄用政策，而非對語言本身不滿意。</p> <p>開發者面臨的挑戰仍然存在，工具鏈與生態系發展速度成為關注重點。Rust使用者最常抱怨的問題仍然是編譯速度，官方雖正在推動平行前端以及更快的linker來提升編譯效能，但這些改進目前還未能滿足開發者需求。此外，Rust的除錯工具支援仍不足，部分開發者認為Rust工具鏈的資源消耗過高，特別是在大型專案中，rust-analyzer和rustfmt等工具的效能仍有待提升。</p> <p>此外，Rust生態系的發展速度與未來的方向也是開發者關心的議題。調查顯示，超過四分之一的受訪者希望Rust能夠更快地新增或穩定新功能，官方承諾Async Closures將在Rust 1.85推出，以及if/let while Chains也預計在Rust 2024版釋出後進入穩定。儘管今年許多開發者期待Rust發展更快，但還是有少部分開發者擔心Rust會變得過於複雜。</p> <p>Rust的發展仍值得關注，特別是在企業環境的應用是否持續擴展，以及開發社群能否維持過去幾年的熱度。此次調查顯示，Rust仍然保持穩定成長，參與調查人數的下降與採用成長的減緩，或許顯示Rust在進入更廣泛市場時面臨挑戰，未來如何降低學習門檻、改善開發體驗，將成為決定Rust能否進一步普及的關鍵。</p> </div></div></div>
2025/2/20 08:19作者李建興https://www.ithome.com.tw/news/167458
如何讓模型更懂繁中知識？聯發科研究團隊揭技術關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聯發創新基地（MediaTek Research）日前一口氣<a href="https://huggingface.co/collections/MediaTek-Research/breeze-2-family-67863158443a06a72dd29900">釋出2款繁中多模態語言模型Llama-Breeze2-3B和Llama-Breeze2-8B</a>，可分別在手機和電腦上執行AI助理任務，不只能處理文字工作，還懂看圖、調用外部工具。他們還<a href="https://github.com/mtkresearch/Breeze2-android-demo">開源以3B模型為基礎、可離線工作的Android聊天機器人App</a>，鼓勵開發者延伸開發，甚至也<a href="https://huggingface.co/MediaTek-Research/BreezyVoice">釋出一款可合成臺灣口音的語音生成模型BreezyVoice</a>。</p> <p>要讓模型更懂繁中文字和圖片知識，還要讓AI生成臺灣口音的語音，需要哪些技術和資料？iThome專訪聯發創新基地開發團隊，來分享這些模型背後的關鍵技術。</p> <p><span style="font-size:22px;"><strong>關鍵1：採LLaVA架構</strong></span></p> <p>聯發創新基地團隊表示，大約去年4、5月，他們就著手打造Llama-Breeze2系列模型。也因為目標是多模態模型，除了懂文字，還要能看圖、知道呼叫函式（Function calling）來調用外部工具。因此，團隊採用熱門的多模態模型LLaVA架構，來開發Breeze2。</p> <p>進一步來說，LLaVA架構由<strong>視覺編碼器（Vision Transformer，簡稱ViT）、多層感知器（MLP）</strong>和<strong>大型語言模型（LLM）</strong>組成。它們互相搭配，由ViT處理圖像，將圖像切分成一塊塊的圖像塊（Patch），再轉換為向量。接著由MLP擔任橋樑，將ViT產出的視覺特徵轉換為LLM可理解的格式，最後交由LLM產出回答。</p> <p>在這個ViT-MLP-LLM架構下，Llama-Breeze2-3B就由InternViT-300M-448px、MLP、Llama 3.2-3B組成，Llama-Breeze2-8B一樣有InternViT-300M-448px、MLP，只是最後的LLM為Llama 3.1 8B模型。（如下圖）</p> <p><img alt="" src="https://arxiv.org/html/2501.13921v3/extracted/6196088/img/breeze2_architecture.jpg" /></p> <p><span style="font-size:22px;"><strong>關鍵2：繁中優化</strong></span></p> <p>要讓模型理解繁中知識，就得靠繁中資料加強模型的理解力。</p> <p>這個加強之處，在於模型的<strong>預訓練</strong>（Pretraining）和<strong>後訓練</strong>（Post-training）兩階段。</p> <p>其中，預訓練又可分為<strong>延伸文字預訓練、視覺對齊預訓練</strong>，前者主要用收集到的繁中資料，來加強Llama 3.2 3B和Llama 3.1 8B基礎模型的繁中知識理解力，後者則加強ViT模型和MLP對繁中圖文內容的理解力。</p> <p>再來，後訓練則靠3件事來優化模型繁中能力，包括<strong>文字指令調校</strong>、<strong>視覺指令調校</strong>和<strong>函式呼叫微調</strong>。文字指令調校是要讓模型更理解繁中環境下的文字指令，視覺指令調校則是要模型更理解臺灣相關的圖文任務，比如解讀臺灣街景、招牌或繁體字排版。至於函式呼叫微調，則是要模型學會何時需要呼叫函式、要調用哪些功能，而且要能理解繁中語境。</p> <p><span style="font-size:22px;"><strong>關鍵3：大量在地化資料</strong></span></p> <p>接著是影響模型學習的繁中資料集建置，首先，團隊收集了近1TB的繁中文字資料、共超過9,000億個Token（如下圖）。為確保這些資料可用，他們以開源過濾器加上自建的規則，來清理資料，尤其是身份證字號、電話等個資部分，都準確清除。這是文字資料的準備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-19%20190512.png" /></p> <p>圖片訓練資料部分，團隊以英文的開源資料為主要訓練資料，但為了讓模型看到圖片後、能給出符合臺灣語境的回答，他們自己也翻譯了部分問答資料，並加入臺灣的習慣用語，讓模型回答能更貼近在地文化。</p> <p>團隊強調，雖然訓練資料量大，但為保留原本Llama 3.1和Llama 3.2模型的優點，他們採取<strong>低學習率（Learning rate）方式</strong>來訓練模型。就好比要模型讀一本厚書，高學習率要求模型快速背完，低學習率則是按部就班進行。</p> <p><span style="font-size:22px;"><strong>關鍵4：函式呼叫判斷機制</strong></span></p> <p>至於函式呼叫，聯發創新基地團隊也有幾招來強化模型能力。</p> <p>首先是導入模型的判斷機制，也就是在回答問題前，先判斷該不該呼叫函式，以及該呼叫什麼函式。這個判斷機制叫做<a href="https://arxiv.org/html/2412.01130v2">Decision Token</a>，是團隊先前提出的概念，它能在模型回答問題前，強迫模型先下決策，要使用工具（呼叫函式），還是不用工具、直接回答。</p> <p>這個Decision Token機制，還能加強模型對工具使用的判斷力。因為，模型得靠函式呼叫資料和非函式呼叫資料訓練，才能學習使用工具的判斷邏輯，但傳統上，這種非函式呼叫的資料（又稱為反向資料）很難收集。於是，團隊透過Decision Token，在函式資料集中，將原本模型判斷需要呼叫的特定函式拿掉，這樣模型就會生成不呼叫函式的答案，就能快速產出非函式呼叫的訓練資料。</p> <p>接著，團隊就能在模型訓練過程中加入這些資料，讓模型學習在哪些情境不需要呼叫函式，進一步避免不必要的函式呼叫，加強模型使用工具的判斷力。</p> <p>不只Decision Token，團隊還特別打造一套翻譯流程，來將工具使用的資料，翻譯為繁體中文，加強模型呼叫函式的繁中能力。這是因為，他們採用開源的函式呼叫資料集來訓練模型，但這些資料9成都是英文，若只用英文資料，就會影響模型後續行為。比如，使用者詢問模型，臺北天氣如何，模型呼叫函式、調用外部工具取得的答案，可能會顯示Taipei，而非臺北。</p> <p>因此，聯發創新基地團隊自建一套合成資料的翻譯處理流程，就像是一臺翻譯機，能翻譯任何語言（包括繁中），來解決語言在地化問題。</p> <p><span style="font-size:22px;"><strong>關鍵5：根據上下文準確分辨讀音</strong></span></p> <p>不只是文字、圖像，團隊也打造出符合臺灣口音的語音合成模型BreezyVoice，背後有個重要關鍵，也就是讓模型準確分辨破音字的<a href="https://tw.pycon.org/2022/en-us/conference/talk/260/">G2PW套件</a>。</p> <p>簡單來說，BreezyVoice是以既有的CosyVoice語音合成模型改良而成。這套模型的運作原理是，輸入語音樣本，模型將聲音轉換為符元（Token），這些符元帶有能生成原本聲音的資訊，所以有了這些符元，就能根據文字，來將符元轉回音訊，達到文字生成語音的效果。</p> <p>不過，這個CosyVoice的中文語音帶有中國大陸口音，為能貼近臺灣口音，團隊採用臺灣口音的語音資料來改善模型發音，也以G2PW來讓模型發音更正確。這個G2PW是一款團隊開發的開源套件，是BERT衍生模型，能很好地理解上下文、決定讀音，尤其是破音字。</p> <p><span style="font-size:22px;"><strong>時下熱門的推理模型也在研究中</strong></span></p> <p>開源多款輕量級語言模型之餘，聯發創新基地團隊表示，他們也一直在研究不同層面的AI技術，像是近期廣受討論的測試階段運算擴展（Test-time computing）方法。有別於傳統的擴展法則、在模型訓練階段加入大量運算資源和資料，測試階段運算擴展方法是在模型部署後的推論階段，加強算力，讓模型處理複雜問題時，能多思考幾步，著名的例子有OpenAI的o系列推理模型、DeepSeek R1和Google Gemini 2.0 Flash Thinking等。</p> <p></p> </div></div></div>
2025/2/19 19:33作者王若樸https://www.ithome.com.tw/news/167459
金融科技產業聯盟正式成立！四大工作圈協力加速Fintech發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年七月，金管會主委彭金隆發布五大金融科技策略，其中一項策略，就是要透過成立金融科技聯盟，促成金融業者合作打團體戰。歷經三個月的籌備期，在金管會指導下，金融總會在今日舉辦金融科技產業聯盟啟動儀式，宣布聯盟正式成立。</p> <p>在成立儀式上，金管會創新處長胡則華展示了金融科技產業聯盟架構圖。她表示，產業聯盟的會員初期將以金融機構為主，聯盟核心包含四大工作圈，分別是金融科技應用研發、數位金融實務規範建議、金融科技投資交流及異業生態共創。各組工作圈召集人將由有興趣主導的業者輪流擔任，每任任期為2年。目前，各工作圈首任召集人分別由中信金控、玉山金控、凱基金控及國泰金控擔任。</p> <p>金融科技產業聯盟第一個工作圈是金融科技應用研發工作圈，由中信金控擔任召集人，負責針對金融業共通效益的特定場景進行主題式科技研發應用。例如發展科技防詐，或是和聯盟會員合作，共同打造符合臺灣在地金融領域知識的大語言模型。中信金控最高資訊主管賈景光表示，在第一階段，他們將會聚焦在打造全國性的金融同業防詐平臺，透過和其他工作圈合作，加速金融防詐發展。</p> <p>第二個工作圈，是數位金融實務規範建議工作圈，由玉山金控擔任召集人，負責研擬金融科技應用實務指南、協助建立金融科技基礎建設的各項標準，例如AI及雲端等技術，並回饋給公會和主管機關參考。玉山金控科技長張智星表示，他們已規畫建立「金融無塵室」，一個透過層層加密，整合來自不同金融機構資料的環境，確保金融機構能在資料合規、安全的情況下進行合作。另外，玉山金控也規畫建立可程式化的AI治理制度，預計利用AI程式自動檢視金融AI應用是否符合指引規範。</p> <p>第三個工作圈是金融科技投資交流工作圈，由凱基金控擔任召集人，負責研議成立創新科技母基金。這個母基金初始規模預計為60億至75億元，主要會由金控業者出資，投資以創新科技為核心的技術或解決方案。未來，凱基金控也計畫尋求國發基金參與投資創新科技母基金，預期總金額可達100億元以上。</p> <p>最後一個工作圈，是異業生態共創工作圈，由國泰金控擔任召集人，負責推動金融同業與異業夥伴合作，例如醫療、電信、零售、科技產業等。目前，國泰金控共提出三個創新提案，第一項提案是聯合學習技術授權，透過授權聯盟運用聯合學習技術，來加速發展防詐。第二項提案是金融與醫療無縫連結智能方案，透過採用醫療數據介接的國際標準，來推動醫療業和保險業資料整合，提升理賠效率。第三項提案則是數位金融護照，透過運用區塊鏈技術，實現跨境資料交換，提升跨國銀行開戶的便利性。</p> <p></p> </div></div></div>
2025/2/19 20:01作者李昀璇https://www.ithome.com.tw/news/167460
【資安日報】2月19日，新型態名稱混淆攻擊手法鎖定雲端環境的虛擬機器映像檔而來，數千個AWS帳號受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用使用者偷懶、輸入錯誤，進行名稱混淆的攻擊手法，最近兩到三年非常汜濫，而最常見的攻擊對象，就是針對使用NPM、PyPI套件的開發人員，如今有人將這種攻擊手法運用到雲端環境，引起雲端服務監控業者的注意。</p> <p>雲端服務監控業者Datadog揭露針對AWS用戶而來的攻擊手法whoAMI，攻擊者使用名稱混淆手法提供虛擬機器映像檔，就有機會在使用者的EC2執行個體執行任意程式碼。值得留意的是，已有AWS帳號實際受害的情況發生。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167436"><strong style="font-size: 22px;">新型態名稱混淆攻擊手法染指AWS的映像檔！已有數千個AWS帳號淪陷</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/whoAMI3-attack-flow.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/whoAMI3-attack-flow.jpg" style="width: 300px; float: right;" /></a></p> <p>名稱混淆的攻擊手法，大多出現在NPM、PyPI等開源套件上，如今有駭客針對雲端環境的虛擬機器映像檔下手，讓搜尋特定名稱映像檔的使用者中招。</p> <p>雲端服務監控業者Datadog旗下的資安實驗室指出，他們去年發現名為whoAMI的攻擊手法，任何人只要能以特定的名稱發布Amazon Machine Image（AMI），就有機會利用存在弱點的AWS帳號執行任意程式碼。研究人員推測，約有1%的組織的AWS帳號存在弱點，且有數千個AWS帳號可能已遭遇相關攻擊。對此，Datadog於9月中旬通報，AWS確認後隨即進行修補。</p> <p>為何這家業者會發現這項能被用於攻擊的弱點？Datadog資安實驗室雲端安全研究員暨倡議者Seth Art指出，他們在去年8月發現有多個軟體專案出現不尋常的情況，例如，在這些專案當中，會惡意搜尋特定AMI並試圖建立EC2執行個體，因而Datadog決定著手調查攻擊者如何下手。</p> <p><a href="https://www.ithome.com.tw/news/167448"><strong style="font-size: 22px;">俄羅斯駭客鎖定歐洲、北美、非洲、中東而來，以要求裝置綁定為幌子進行網釣攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Device-code-phishing-attack-chain.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Device-code-phishing-attack-chain.png" style="width: 300px; float: right;" /></a></p> <p>俄羅斯駭客發動網路釣魚的攻擊手法翻陳出新，最近有兩組資安研究人員提出警告，這些駭客開始假借安全為由，使用者必須綁定裝置的才能通過身分驗證為幌子，發動裝置驗證碼（Device Code）網釣攻擊行動。</p> <p>2月13日微軟威脅情報團隊指出，他們發現與俄羅斯有關的駭客組織Storm-2372，自去年8月發起大規模的裝置驗證碼網釣攻擊，這些駭客意圖欺騙使用者登錄生產力應用程式，然後從登錄過程的Token攔截相關資訊，而能存取受害者的Microsoft 365帳號。值得留意的是，這波攻擊行動仍在持續進行。</p> <p>無獨有偶，資安業者Volexity同樣也發現有俄羅斯駭客組織利用裝置驗證碼的網釣攻擊事故，微軟在調查報告也有提到這家廠商的發現。Volexity從今年1月中旬看到不尋常的網路釣魚活動，並指出有多個俄羅斯駭客參與，最終目的就是假借設備驗證碼的身分驗證流程，破壞M365帳號。</p> <p><a href="https://www.ithome.com.tw/news/167454"><strong style="font-size: 22px;">日本企業傳出遭中國駭客APT41旗下團體攻擊，駭客利用ERP系統SQL注入漏洞部署Web Shell</strong></a></p> <p>近期不時有針對日本的攻擊事故傳出，繼日本電腦危機處理暨協調中心（JPCERT/CC）揭露有當地企業組織遭遇Ivanti Connect Secure零時差漏洞攻擊，隔天（2月13日）又有日本資安業者公布為期接近一年的中國駭客攻擊行動。</p> <p>資安業者Lac指出，中國駭客組織APT41旗下團體Winnti Group自去年3月開始發起攻擊行動RevivalStone，鎖定日本製造、材料、能源產業的公司而來，並對於執行ERP軟體的網頁伺服器下手，藉由SQL注入漏洞植入Web Shell，然後於受害組織的網路環境進行偵察、橫向移動，最終散布惡意程式Winnti。</p> <p>Lac資安研究員松本拓摩及石川宏指出，這些駭客為了擴大受害範圍，還會試圖竊取代管服務業者（MSP）的共通帳號，進行供應鏈攻擊，向MSP代管的其他客戶橫向移動，入侵這些公司的網路環境。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/earth-preta-apt-group-evades-detection-with-legitimate-and-malicious-components/">中國駭客Earth Preta鎖定泰國用戶而來，假借打擊犯罪為由散布惡意程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/stealth-attack-earthkapre-leverages-cloud-and-dll-sideloading-for-data-exfiltration/">駭客組織Earth Kapre利用Adobe元件側載惡意程式，並透過罕見雲端服務外送竊得資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/triplestrength-threat-actor-group-ransomware-mining-and-server-hacks/">駭客組織TripleStrength同時對於本地及雲端發動攻擊，用勒索軟體加密本機電腦檔案，同時利用受害組織的雲端環境進行挖礦</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167452"><strong style="font-size: 22px;">OpenSSH修補可被用於中間人攻擊、造成阻斷服務的弱點</strong></a></p> <p>2月18日OpenSSH推出9.9p2版，修補中度風險層級弱點CVE-2025-26465、CVE-2025-26466，這兩項漏洞分別可被用於中間人攻擊（MitM）、阻斷服務攻擊（DoS）。</p> <p>通報這些漏洞的資安業者Qualys進一步公布漏洞細節，CVE-2025-26465存在於OpenSSH用戶端VerifyHostKeyDNS選項啟用的狀態，雖然在絕大多數作業系統使用的OpenSSH，這個選項預設都是停用，但Qualys指出，有作業系統的VerifyHostKeyDNS持續7個月處於啟用狀態，因而曝險。攻擊者利用過程完全無須使用者互動，也不需有特定的DNS記錄存在。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/libreoffice-vulnerabilities-cve-2024-12425-cve-2024-12426-pocs-released-patch-asap/">研究人員揭露LibreOffice近期修補的資安漏洞，並指出攻擊者利用的過程完全無需使用者互動</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167451"><strong style="font-size: 22px;">美三州政府公務手機禁用DeepSeek，南韓封鎖應用程式下載</strong></a></p> <p>中國DeepSeek模型的高效能及低成本引發業界關注，不過其他國家行政部門對它存有資安疑慮。美國已有德州、紐約州及維吉尼亞州禁止公務人員裝置使用DeepSeek。</p> <p>德州於1月底率先於美國啟動調查，了解是否威脅美國用戶資料安全。德州檢察長辦公室也向Google與蘋果發函要求其對DeepSeek的分析，以及DeepSeek App上架Google Play Store和App Store前被要求提交的文件。德州檢察長Ken Paxton指出，DeepSeek好比中國共產黨的大門，以遂其推翻美國在AI市場獨霸地位及竊取美國公民資料的目的，他因而啟動徹底調查，並呼籲Google和蘋果協助提供研究DeepSeek的相關資料。</p> <p>南韓個資保護委員會（PIPC）以隱私保護不足為由，從本月15日起暫時封鎖境內DeepSeek App下載，但DeepSeek網頁版不在禁止的範圍。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-reminds-admins-to-prepare-for-wsus-driver-sync-deprecation/">微軟針對WSUS服務棄用再度警告，並指出2個月後將停止驅動程式同步服務</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167446"><strong>【2月18日】Ivanti旗下SSL VPN系統零時差漏洞在日本傳出攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167393"><strong>【2月17日】資安業者揭露2024年9月Salt Typhoon攻擊全球電信業者更多細節，利用已知漏洞入侵思科設備</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167383"><strong>【2月14日】資安業者揭露已遭中國駭客用於攻擊行動的Windows使用者介面零時差漏洞</strong></a></p> </div></div></div>
2025/2/19 15:12作者周峻佑https://www.ithome.com.tw/news/167455
日本企業傳出遭中國駭客APT41旗下團體攻擊，駭客利用ERP系統SQL注入漏洞部署Web Shell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期不時有針對日本的攻擊事故傳出，繼日本電腦危機處理暨協調中心（JPCERT/CC）揭露<a href="https://www.ithome.com.tw/news/167430">有當地企業組織遭遇Ivanti Connect Secure零時差漏洞攻擊</a>，隔天（2月13日）又有日本資安業者公布為期接近一年的中國駭客攻擊行動。</p> <p>資安業者Lac指出，中國駭客組織APT41旗下團體Winnti Group<a href="https://www.lac.co.jp/lacwatch/report/20250213_004283.html">自去年3月開始發起攻擊行動RevivalStone</a>，鎖定日本製造、材料、能源產業的公司而來，並對於執行ERP軟體的網頁伺服器下手，藉由SQL注入漏洞植入Web Shell，然後於受害組織的網路環境進行偵察、橫向移動，最終散布惡意程式Winnti。</p> <p>Lac資安研究員松本拓摩及石川宏指出，這些駭客為了擴大受害範圍，還會試圖竊取代管服務業者（MSP）的共通帳號，進行供應鏈攻擊，向MSP代管的其他客戶橫向移動，入侵這些公司的網路環境。</p> <p>Winnti使用的Web Shell共有3種，包含中國駭客廣泛使用的中國菜刀（China Chopper），以及Behinder（IceScorpion），以及SQLmap Fild Uploader。</p> <p>上述工具能替攻擊者執行那些工作？研究人員提到中國菜刀能對受害主機進行各式攻擊，以及植入惡意程式Winnti；Behinder則是支援外掛的後門程式，可執行檔案及Shell命令，以及載入經AES演算法處理的有效酬載。至於SQLmap Fild Uploader，則是具備圖形介面的檔案上傳工具，主要是透過滲透測試工具SQLmap產生有效酬載。</p> <p>攻擊者身分的確認，Lac從惡意程式的元件發現蛛絲馬跡，例如他們從中找到Treadstone、Stone V5的字串，接著比對多種情報，像是美國2019年起訴相關駭客的資料，<a href="https://www.ithome.com.tw/news/161454">中國資安業者安洵信息外流的內部檔案</a>、資安業者Cybereason公布的<a href="https://www.cybereason.com/blog/operation-cuckoobees-cybereason-uncovers-massive-chinese-intellectual-property-theft-operation">攻擊行動Operation CuckooBees</a>，最終他們確定罪魁禍首是Winnti Group。值得留意的是，他們發現攻擊者在滲透過程當中，濫用一家臺灣企業的數位憑證。根據他們的調查，駭客在其中一個蠕蟲程式上，使用臺灣電器製造商的過期憑證簽署的情況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/_Y3oWv302bg.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_Y3oWv302bg.png" style="width: 580px;" /></a></p> </div></div></div>
2025/2/19 15:02作者周峻佑https://www.ithome.com.tw/news/167454
OpenSSH修補可被用於中間人攻擊、造成阻斷服務的弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月18日OpenSSH<a href="https://www.openssh.com/txt/release-9.9p2">推出9.9p2版</a>，修補中度風險層級弱點CVE-2025-26465、CVE-2025-26466，這兩項漏洞分別可被用於中間人攻擊（MitM）、阻斷服務攻擊（DoS）。</p> <p>通報這些漏洞的資安業者Qualys<a href="https://blog.qualys.com/vulnerabilities-threat-research/2025/02/18/qualys-tru-discovers-two-vulnerabilities-in-openssh-cve-2025-26465-cve-2025-26466">進一步公布漏洞細節</a>，CVE-2025-26465存在於OpenSSH用戶端VerifyHostKeyDNS選項啟用的狀態，雖然在絕大多數作業系統使用的OpenSSH，這個選項預設都是停用，但Qualys指出，有作業系統的VerifyHostKeyDNS持續7個月處於啟用狀態，因而曝險。攻擊者利用過程完全無須使用者互動，也不需有特定的DNS記錄存在。</p> <p>一旦攻擊者利用這項漏洞發動中間人攻擊，用戶端將會接收攻擊者提供的金鑰，使得SSH連線的完整性遭到破壞，攻擊者可檢視及竄改敏感資料，在多臺重要伺服器之間進行橫向移動，甚至洩露資料庫憑證等具有價格的資訊。</p> <p>VerifyHostKeyDNS是允許用戶端透過DNS記錄（特別是其中的SSHFP記錄），尋找及驗證伺服器金鑰的機制。僅管這個選項OpenSSH推出的版本預設為停用，但Qualys威脅研究團隊產品經理Saeed Abbasi指出，在2013年9月至2023年3月發布的FreeBSD作業系統當中，該選項預設為啟用而可能曝險，因此，CVE-2025-26465的資安風險仍然需要留意。</p> <p>另一個漏洞CVE-2025-26466涉及預先身分驗證，同時影響OpenSSH的伺服器與用戶端，源自於2023年8月導入的非對稱記憶體與處理器資源使用機制。</p> <p>假若攻擊者能夠不斷觸發這項弱點，就有可能導致長時間服務中斷，或是將使用者鎖定。</p> </div></div></div>
2025/2/19 11:14作者周峻佑https://www.ithome.com.tw/news/167452
xAI公布號稱世界最強的Grok 3模型、AI代理功能Deep Search，新增SuperGrok訂閱方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>緊追Google Gemini 2、OpenAI o3之後，馬斯克的xAI公司周二發表最新旗艦AI模型Grok 3，號稱比現有其他競爭模型效能都更強大，也公布了深入研究功能Deep Search，付費用戶已可使用。此外也公布了更高階收費方案SuperGrok。</p> <p>馬斯克周末在X上<a href="https://x.com/elonmusk/status/1890958798841389499" target="_blank">公告</a>，「地表最聰明的AI」模型Grok 3將上線。臺北時間周二馬斯克連同xAI員工線上<a href="https://www.youtube.com/watch?v=BDseU-kmDYY&t=11s" target="_blank">展示</a>了最新一代LLM模型。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>馬斯克稱Grok 3為地表最強模型</strong></span></span></p> <p>馬斯克上周<a href="https://www.youtube.com/shorts/LBPzWPNEUDs" target="_blank">表示</a>，Grok 3在最後收尾階段時，標竿測試的跑分成績超過所有已知的AI模型。他說Grok 3「聰明地嚇死人」（scary smart），能給出使用者想都想不到的方法，即使未經微調的Grok 3都比Grok 2要好。</p> <p>在Grok 3發表大會上xAI<a href="https://www.youtube.com/shorts/LBPzWPNEUDs" target="_blank">展示</a>，xAI的超級電腦Colossus在長達122天的第一期內，在10萬顆GPU基礎上從頭打造出Grok，第二期則花了92天內擴散為20萬顆GPU，而在此快馬加鞭下，Grok家族只花了2024年一年的時間，就達到OpenAI GPT模型從2019年起6年才達到的效能。</p> <p>根據xAI提供的數據，Grok 3及Grok 3 mini在數學、科學、程式三項標竿測試中得分，超越Google Gemini 2 Pro、DeepSeek V3、GPT 4o及Claude 3.5 Sonnet。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0219-xAI-Grok-Benchmark.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>發表進階功能Deep Search</strong></span></span></p> <p>xAI同時展示可解決困難問題的進階功能，包括Deep Search、Think與Big Brain，其中Big Brain最耗運算資源，能回答最困難問題，Deep Search則能上網查詢。此外還有具思維鏈的基礎模型Grok 3 Reasoning家族、Grok 3 mini Reasoning。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0219-xAI-Grok%203-DeepSearch.png" style="width: 500px;" /></p> <p>目前Grok 3 Reasoning為Beta版。xAI同時公布數據，Grok 3 Reasoning、Grok 3 mini Reasoning在AIME 2025測試中，成績高達93%與90%，超越OpenAI o3 mini(high)與o1、DeepSeek R1、Google Gemini 2 Flash Thinking的測試成績。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0219-xAI-Grok-Benchmark-AIME%202025.png" style="width: 600px; height: 480px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>公布頂級訂閱方案SuperGrok</strong></span></span></p> <p>Grok-3現在已部署到付費版Premium+方案，可在Grok.com上使用。用戶可以獲得Deep Search、Grok-3 Reasoning模型，以及早期試用新功能。xAI還公布了更高階的SuperGrok付費方案，保證高頻寬存取Grok-3、獲得Deep Search和Think功能，以及更多則圖片生成功能。不過價格未公布。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>再調高X Premium+方案價格</strong></span></span></p> <p>隨同Grok新模型及新功能的推出，X也提高了Premium+的訂閱價格，將去年底才<a href="https://www.ithome.com.tw/news/166648" target="_blank">調漲</a>為22美元的月費，一舉提高為40美元（年費則由229調為395美元）。臺灣方面，則調為1,309元/月及12,930元/年。但值得注意的是，<a href="https://help.x.com/en/using-x/x-premium#tbpricing-bycountry" target="_blank">同一頁</a>卻也保留了去年底更新的價格。</p> <p>其他宣布方面，Grok 3未來將支援語音互動，上述功能也會在幾個禮拜內部署給以API存取的用戶。xAI也承諾未來幾個月開源Grok-2。</p> <p>Grok 3也是馬斯克上周放話欲以974億美元<a href="https://www.ithome.com.tw/news/167300" target="_blank">收購</a>OpenAI後，兩公司的產品較勁。馬斯克希望以此阻止OpenAI轉型為營利機構，但OpenAI<a href="https://www.ithome.com.tw/news/167369" target="_blank">方面說</a>，馬斯克只是想藉收購消滅競爭對手。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／xAI</span></span></p> </div></div></div>
2025/2/19 13:02作者林妍溱https://www.ithome.com.tw/news/167453
美三州政府公務手機禁用DeepSeek，南韓暫停App下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國DeepSeek模型的高效能及低成本引發業界關注，不過其他國家行政部門對它存有資安疑慮。美國已有德州、紐約州及維吉尼亞州禁止公務人員裝置使用DeepSeek。</p> <p>德州於1月底率先於美國啟動調查，了解是否威脅美國用戶資料安全。德州檢察長辦公室也向Google與蘋果發函要求其對DeepSeek的分析，以及DeepSeek App上架Google Play Store和App Store前被要求提交的文件。德州檢察長Ken Paxton<a href="https://www.texasattorneygeneral.gov/news/releases/attorney-general-ken-paxton-announces-investigation-deepseek-and-notifies-chinese-ai-company-its" target="_blank">指出</a>，DeepSeek好比中國共產黨的大門，以遂其推翻美國在AI市場獨霸地位及竊取美國公民資料的目的，他因而啟動徹底調查，並呼籲Google和蘋果協助提供研究DeepSeek的相關資料。</p> <p>1月31日，德州<a href="https://gov.texas.gov/news/post/governor-abbott-announces-ban-on-chinese-ai-social-media-apps" target="_blank">發布</a>禁令，禁止在公務裝置中使用DeepSeek。隨後紐約州與維吉尼亞州也跟進。</p> <p>已有其他國家行政部門企圖禁止民眾使用DeepSeek。南韓個資保護委員會（Personal Information Protection Commission，PIPC）上周以隱私保護不足為由，從本月15日起暫時封鎖境內DeepSeek App下載。DeepSeek網頁版仍然得以使用。</p> <p>南韓政府表示，在DeepSeek提供的文件中發現其第三方服務的通訊功能及個資處理政策存在一些缺點，因此當局決定在DeepSeek修正其服務前，要求暫停在該國的下載服務。DeepSeek於上周主動停止下載服務。南韓是第一個暫停DeepSeek App下載的亞洲國家。</p> <p>歐洲部份，義大利1月底已<a href="https://garanteprivacy.it/home/docweb/-/docweb-display/docweb/10097450" target="_blank">禁止</a>DeepSeek App的下載，理由是當局不滿DeepSeek不願意提供DeepSeek蒐集、處理義國公民資料的方法和目的，因為他們宣稱不在歐盟營運，不受歐盟管轄法規。但義大利也禁用OpenAI的ChatGPT。</p> <p>行政院也在2月3日<a href="https://www.ithome.com.tw/news/167184" target="_blank">宣布</a>，基於國家資通安全考量，公務機關全面禁用DeepSeek AI服務。</p> </div></div></div>
2025/2/19 11:11作者林妍溱https://www.ithome.com.tw/news/167451
俄羅斯駭客鎖定歐洲、北美、非洲、中東而來，以要求裝置綁定為幌子進行網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯駭客發動網路釣魚的攻擊手法翻陳出新，最近有兩組資安研究人員提出警告，這些駭客開始假借安全為由，使用者必須綁定裝置的才能通過身分驗證為幌子，發動裝置驗證碼（Device Code）網釣攻擊行動。</p> <p>2月13日微軟威脅情報團隊指出，他們發現與俄羅斯有關的駭客組織Storm-2372，<a href="https://www.microsoft.com/en-us/security/blog/2025/02/13/storm-2372-conducts-device-code-phishing-campaign/">自去年8月發起大規模的裝置驗證碼網釣攻擊</a>，針對歐洲、北美、非洲、中東地區的政府機關、非政府組織（NGO），以及廣泛的行業而來，這些駭客意圖欺騙使用者登錄生產力應用程式，然後從登錄過程的Token攔截相關資訊，而能存取受害者的Microsoft 365帳號。值得留意的是，這波攻擊行動仍在持續進行。</p> <p>微軟提及駭客捏造與WhatsApp、Signal、Teams等即時通訊軟體為誘餌，冒充與目標有關的傑出人物，並建立良好關係，待時機成熟再透過釣魚郵件邀請他們參加會議或是網路活動。</p> <p>這些信件偽裝成通訊裝置的驗證請求，要求收信人完成裝置驗證碼認證流程，若是收信人照做，Storm-2372就有機會得到他們帳號的初始存取管道，並透過Graph API進行資料收集。</p> <p>駭客在成功挾持受害者帳號後，就會進一步用來對組織其他的使用者進行裝置驗證碼網釣攻擊，然後於受害組織的網路環境進行橫向移動。</p> <p>無獨有偶，資安業者Volexity<a href="https://www.volexity.com/blog/2025/02/13/multiple-russian-threat-actors-targeting-microsoft-device-code-authentication/">同樣也發現有俄羅斯駭客組織利用裝置驗證碼的網釣攻擊事故</a>，微軟在調查報告也有提到這家廠商的發現。Volexity從今年1月中旬看到不尋常的網路釣魚活動，並指出有多個俄羅斯駭客參與，最終目的就是假借設備驗證碼的身分驗證流程，破壞M365帳號。</p> <p>Volexity研究人員Charlie Gardner、Steven Adair、Tom Lancaster指出，這些駭客冒充美國國務院、烏克蘭國防部、歐盟議會，或是知名研究機構，以微軟Teams會議、視訊會議、使用安全的即時通訊軟體加入聊天室，以及利用M365帳號存取應用程式與資料為由，寄送釣魚郵件，要求收信人進行設備驗證。</p> <p>一旦攻擊者成功挾持受害者帳號，攻擊者就有可能進行後續的入侵手段，像是作為存取受害組織的所需材料，並透過指令碼或原生應用程式執行相關作業，或是存取與遭竊帳號有關的基礎設施架構。</p> <p>而對於攻擊者的身分，Volexity表示至少有3組俄羅斯駭客參與攻擊，其中一個被稱為CozyLarch，該組織與稱做APT29、Midnight Blizzard、CozyDuke的另一組人馬有所關聯。</p> </div></div></div>
2025/2/19 08:39作者周峻佑https://www.ithome.com.tw/news/167448
HP收購Ai Pin製造商Humane，接收AI、智財、員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在推出Ai Pin一年多後，生產商Humane<a href="https://humane.com/media/humane-hp" target="_blank">宣布</a>將以1.16億美元出售公司技術及員工給HP，而Ai Pin也即將在月底失去通話、AI查詢等功能。</p> <p>HP將收購Humane的AI平臺Cosmos、員工、300多項已取得及申請中的專利等技術。創辦Humane的前蘋果設計師Imran Chaudhri及工程師Bethany Bongiorno也將加入HP。本收購案預計2月底完成。</p> <p>由Chaudhri及Bongiorno率領開發的Ai Pin在2023年底<a href="https://www.ithome.com.tw/news/159732" target="_blank">推出</a>之前，被視為改變個人運算的革命性裝置。它沒有螢幕，而是在胸前或放在口袋由使用者聲控或手勢操作，執行上網、收發電子郵件、查閱行程、撥打電話和傳訊。使用者需要「撥號」時，可由Ai Pin在手心投影出鍵盤。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-Humane-ai%20pin-960.jpg" style="width: 600px;" /></p> <p>Ai Pin卻出師不利。首先，產品要價不斐，本體699美元還需綁每月24美元連線服務費。更主要原因在Ai Pin實際運作引來一片差評，服務回應速度慢，投影及手勢感測效果都不佳。去年夏天顧客紛紛要求<a href="https://www.theverge.com/2024/8/7/24211339/humane-ai-pin-more-daily-returns-than-sales" target="_blank">退貨</a>，已下單的客戶也取消訂單，到8月退費增加速度超過收款。此外Humane還<a href="https://techcrunch.com/2024/06/05/humane-urges-customers-to-stop-using-charging-case-citing-battery-fire-concerns/" target="_blank">呼籲</a>用戶停止使用原廠充電器，理由是有電池起火疑慮。10月Humane將Ai Pin價格調降為200美元。</p> <p>HP方面，接收Humane的技術及人才可強化HP生產執行本地端及雲端AI的裝置。HP技術暨創新部門總裁Tuan Tran表示，Humane的Cosmos可協助打造全系列AI裝置，從AI PC到智慧印表機，及連網會議室設備。而接收的Humane工程師、架構師和產品開發人員，也將投入HP新設立的AI創新實驗室，旨在打造跨HP產品及服務的智慧應用。</p> <p>伴隨這樁收購，Ai Pin即將成為孤兒。根據Humane技術支援<a href="https://support.humane.com/hc/en-us/articles/34374173951373-Important-Update-for-Consumer-Ai-Pin-Customers" target="_blank">網頁</a>，自太平洋時間2月28日中午12:00起Ai Pin將無法再連結Humane伺服器，屆時Ai Pin無法再撥打電話、傳送訊息、AI查詢，或存取雲端服務。此外，儲存用戶資料的雲端平臺.Center也會關閉。Humane鼓勵用戶在此日期前下載相片、影片和筆記等檔案，因為之後所有.Center上的資料都會被刪除。</p> </div></div></div>
2025/2/19 09:43作者林妍溱https://www.ithome.com.tw/news/167449
Mistral推出高效能、小型化區域語言模型Saba，專為中東與南亞市場設計
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mistral AI發表全新語言模型<a href="https://mistral.ai/en/news/mistral-saba">Mistral Saba</a>，這是一款針對中東與南亞市場設計的高效能、小型化區域語言模型。Saba擁有240億參數，專注於阿拉伯語與多種印度語言的理解與應用，並且在效能與推理速度上取得平衡，相較於更大規模的模型，能夠以較低的計算資源提供準確的回應。Mistral AI強調，這款模型不僅可以透過API存取，還支援本地部署，以滿足企業對於資料隱私與安全性的需求。</p> <p>一般大型語言模型雖然支援多語言，但往往缺乏對於特定語言的深度理解，特別是在文化脈絡、專業術語與語法細微差異方面。而Saba的訓練採用來自中東與南亞地區的高品質資料集，使其在這些市場的實際應用能夠提供更自然、精確的語言處理能力。</p> <p>根據Mistral AI公布的基準測試結果，Saba在阿拉伯語的大規模多任務語言理解測試（MMLU）表現領先，甚至超越部分擁有700億參數的模型，同時推理延遲明顯更低，能夠在單個GPU硬體環境下達到每秒150 Token以上的生成速度。這對於希望在有限計算資源內，部署大語言模型的企業來說，是一個重要的優勢。此外，Saba也支援微調，企業可依據自身需求進一步調整，強化其在金融、能源、醫療等特定領域的應用。</p> <p>Mistral AI近期的模型發布傾向於輕量化和本地部署語言模型，與目前市場上競爭者普遍推出的超大規模雲端模型策略不同。除了Saba這款針對中東與南亞市場設計的區域語言模型，Mistral AI也積極與企業合作，訓練專屬語言模型，以滿足特定產業需求。這種策略不僅強調更細緻的語言最佳化與本地化能力，也讓人工智慧模型能夠在有限的計算資源下高效執行，增加企業在資料隱私、安全性及應用靈活性方面的選擇。</p> </div></div></div>
2025/2/19 08:19作者李建興https://www.ithome.com.tw/news/167442
【資安日報】2月18日，Ivanti旗下SSL VPN系統零時差漏洞在日本傳出攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月初資安業者Ivanti針對已被用於攻擊行動的CVE-2025-0282提出警告，協助調查的資安業者Mandiant指出，中國駭客組織UNC5337將其用於實際攻擊行動，散布Spawn系列的惡意軟體，但這起事故近期出現了後續發展。</p> <p>日本電腦危機處理暨協調中心（JPCERT/CC）揭露於12月下旬出現的漏洞利用攻擊事故，並指出駭客打造更具威力的惡意程式SpawnChimera，對當地的企業組織下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167430"><strong style="font-size: 22px;">Ivanti旗下SSL VPN系統零時差漏洞再傳遭到利用，駭客去年12月於日本散布惡意軟體SpawnChimera</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/spawnchimera01-800wri.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/spawnchimera01-800wri.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Ivanti在1月初提出警告，他們旗下的SSL VPN系統Connect Secure、NAC系統Policy Secure，以及Neurons for ZTA閘道存在記憶體緩衝區溢位漏洞CVE-2025-0282，且已有部分SSL VPN系統遭到攻擊的情況，協助調查的資安業者Mandiant透露，中國駭客組織UNC5337自去年開始將其用來散布惡意程式Spawnant、Spawnmole、Spawnsnail，如今傳出日本出現相關災情。</p> <p>日本電腦危機處理暨協調中心（JPCERT/CC）指出，他們確認去年12月下旬當地有多個企業組織遭到CVE-2025-0282零時差漏洞攻擊，並表示掌握有多組駭客利用這項漏洞的情況。</p> <p>JPCERT/CC事件回應團隊成員増渕維摩指出，在這波攻擊行動裡，他們看到駭客使用名為SpawnChimera的惡意程式，此為Mandiant揭露的Spawn惡意程式家族的升級版本，同時整合Spawnant、Spawnmole、Spawnsnail這3支惡意程式的功能，並且進行升級。</p> <p><a href="https://www.ithome.com.tw/news/167434"><strong style="font-size: 22px;">手法更高明，macOS惡意軟體XCSSET變種現身</strong></a></p> <p>專門透過macOS漏洞感染Xcode專案的惡意程式XCSSET，主要功能是竊取敏感資訊，包括Safari內的cookie、存取相機或安裝應用程式，或是硬碟檔案等。如今微軟研究人員發現，此惡意程式發展出更高明的混淆與程式感染手法，開始在網路上發動攻擊。而這次發現的XCSSET檔案，是2022年之後首度出現的新變種。</p> <p>微軟提及變種XCSSET與過往版本的不同，其中，在感染Xcode專案的過程，該惡意軟體採用更隨機的方法產生有效酬載，編碼方式與處理次數皆非固定，有別於原本的XCSSET主要使用xxd（hexdump）編碼，新的變種也有使用Base64演算法。</p> <p>為了維持在受害電腦活動，XCSSET這次採用兩種手法zshrc、dock來進行，其中一種是在特定資料夾部署包含有效酬載的檔案，另一種是涉及建立冒牌Lauchpad應用程式來掩人耳目。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/lazarus-group-deploys-marstech1.html">北韓駭客Lazarus鎖定開發人員而來，企圖散布惡意JavaScript元件Marstech1</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-i2prat-malware-advanced-undetectable/">惡意軟體I2PRAT透過網釣攻擊手法ClickFix散布，藉由多階段手法植入受害電腦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/scammers-exploit-jfk-files-release-malware-phishing/">針對美國政府解密50年前遭暗殺的政治人物資料，有駭客將其當作散布惡意軟體的誘餌</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167429"><strong style="font-size: 22px;">Nvidia修補圖像處理程式庫漏洞，若不處理攻擊者可藉由特製JPEG2000檔案觸發</strong></a></p> <p>2月11日Nvidia發布資安公告，修補存在於圖片編碼程式庫nvJPEG2000的漏洞CVE-2024-0142、CVE-2024-0143、CVE-2024-0144、CVE-2024-0145，這些弱點涉及越界寫入（OBW）與記憶體緩衝區溢位，攻擊者可利用特製的JPEG2000檔案觸發，一旦成功利用，就有可能執行任意程式碼，或是竄改資料。這些漏洞存在於0.8.0版nvJPEG2000，無論是執行於Windows、x86版Linux、Linux SBSA，以及Nvidia嵌入式應用平臺Jetson的版本都受到影響，Nvidia推出0.8.1版修補。</p> <p>值得留意的是，雖然Nvidia評估這些漏洞為中度風險，資安風險僅為6.8分（滿分10分），但通報此事的思科威脅情報團隊Talos認為，這些漏洞相當危險，他們評估資安風險程度高達9.8分。</p> <p><a href="https://www.ithome.com.tw/news/167440"><strong style="font-size: 22px;">3年前列管的PHP重大漏洞突然浮上檯面，若不修補恐讓網站曝露於SQL注入風險</strong></a></p> <p>開放原始碼的PHP廣泛受到採用，相關資安弱點非常值得重視，但在前幾天我們看到有資安新聞媒體報導3年前被列管的資安漏洞，PHP團隊修補的當下，卻鮮少傳出相關訊息。</p> <p>2月12日通用漏洞揭露（CVE）平臺、美國國家漏洞資料庫（NVD）針對一項2022年列管的PHP漏洞CVE-2022-31631提出警告，並指出這項已在2023年1月修補的弱點相當危險，若是網站及應用程式開發者尚未進行處理，可能會造成相當嚴重的後果。</p> <p>詭異的是，CVE與NVD在今年才將這項2022年就登記CVE編號的漏洞列入資料庫，且由PHP團隊提供相關資安風險評估資料，大幅上調這項弱點的危險程度。但為何這麼做？無論是CVE、NVD，或是PHP團隊，都沒有針對這件事情提出說明。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-32838-cvss-9-4-critical-sql-injection-flaw-threatens-apache-fineract-users/">開源銀行系統Apache Fineract存在重大漏洞，恐被用於SQL注入攻擊</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/google/google-chromes-ai-powered-security-feature-rolls-out-to-everyone/">Google透過AI提升瀏覽器安全防護機制</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167393"><strong>【2月17日】資安業者揭露2024年9月Salt Typhoon攻擊全球電信業者更多細節，利用已知漏洞入侵思科設備</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167383"><strong>【2月14日】資安業者揭露已遭中國駭客用於攻擊行動的Windows使用者介面零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167364"><strong>【2月13日】勒索軟體駭客號稱從臺灣PCB大廠欣興電子竊得大量內部資料</strong></a></p> </div></div></div>
2025/2/18 18:20作者周峻佑https://www.ithome.com.tw/news/167446
3年前列管的PHP重大漏洞突然浮上檯面，若不修補恐讓網站曝露於SQL注入風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放原始碼的PHP廣泛受到採用，相關資安弱點非常值得重視，但在前幾天我們看到有資安新聞媒體報導3年前被列管的資安漏洞，PHP團隊修補的當下卻沒有。</p> <p>2月12日<a href="https://www.cve.org/CVERecord?id=CVE-2022-31631">通用漏洞揭露（CVE）平臺</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-31631">美國國家漏洞資料庫（NVD）</a>針對一項2022年列管的PHP漏洞CVE-2022-31631提出警告，並指出這項已在2023年1月修補的弱點相當危險，若是網站及應用程式開發者尚未進行處理，可能會造成相當嚴重的後果。</p> <p>這項漏洞發生在8.0以上版本的PHP，當時PHP維護團隊發布8.0.27、8.1.15、8.2.2版修補，起因是PHP在使用PDO::quote()的功能為SQLite元件引述使用者提供的資料時，若是內含過長的字串，就有可能導致驅動程式不正確引述資料，產生SQL注入的弱點。</p> <p>詭異的是，CVE與NVD在今年才將這項2022年就登記CVE編號的漏洞列入資料庫，且由PHP團隊提供相關資安風險評估資料，大幅上調這項弱點的危險程度。但為何這麼做？無論是CVE、NVD，或是PHP團隊，都沒有針對這件事情提出說明。</p> <p>事實上，在PHP開發團隊發布新版修補漏洞的時候，就已經針對這項弱點評估風險，根據2023年<a href="https://alas.aws.amazon.com/cve/html/CVE-2022-31631.html">AWS</a>、<a href="http://security.netapp.com/advisory/ntap-20230223-0007/">NetApp</a>、<a href="https://www.oracle.com/security-alerts/linuxbulletinjan2023.html">Oracle</a>、<a href="https://access.redhat.com/security/cve/cve-2022-31631">Red Hat</a>為旗下有導入PHP元件的產品修補這項弱點，皆將此漏洞評估為5.9分，列中度層級。</p> <p>兩年後PHP重新對這項漏洞進行風險評估，並指出其危險程度達到9.1分，原因是攻擊者想利用該漏洞並不複雜（AC:L），一旦遭利用，將會嚴重影響機密性及完整性（C:H、I:H），但不會對於可用性造成影響（A:N）。由於對這些項目的影響程度認定不同，使得PHP團隊2年後的評分有顯著差異。</p> </div></div></div>
2025/2/18 16:37作者周峻佑https://www.ithome.com.tw/news/167440